⚿
Palavras-passe protegidas
As palavras-passe nunca são guardadas: fica só uma impressão digital calculada com Argon2id, o algoritmo recomendado pela OWASP, feito de propósito para ser lento de adivinhar.
Segurança
Pensado para proteger dados de menores.
O PortãoSeguro guarda informação sobre alunos — por isso a segurança não foi um acrescento no fim, foi construída em cada parte do sistema.
▧
Códigos QR impossíveis de falsificar
O código não leva dados nenhuns lá dentro — é uma chave aleatória que só o servidor sabe a quem pertence. Vale 1 minuto, só uma vez, e só para entrar ou só para sair.
⏱
Limite de tentativas de login
Depois de várias palavras-passe erradas seguidas, a conta deixa de aceitar tentativas durante algum tempo — adivinhar à força deixa de ser viável.
✉
Segundo fator para as contas de gestão
As contas com poder sobre os dados de todos pedem, além da palavra-passe, um código de 6 dígitos enviado por email.
◷
Sessões com prazo
As sessões expiram sozinhas. As de gestão terminam à meia-noite, para uma sessão esquecida aberta num computador da escola não ficar ativa.
⚑
Avisos de acesso
Cada entrada numa conta com permissões elevadas gera um aviso por email com a data, a hora e de onde veio o acesso.
⛨
Permissões verificadas no servidor
Esconder um botão não chega: cada ação é verificada no servidor. Ninguém consegue ver ou mudar dados de outra pessoa trocando um número no endereço.
⌚
A hora decide-a o servidor
A hora de cada entrada e saída é sempre a do servidor, nunca a do telemóvel — mudar o relógio do telemóvel não muda nada.
◇
Proteções do browser
O site diz ao browser de onde pode carregar conteúdo (Content-Security-Policy), só funciona por HTTPS e não pode ser embutido noutros sites.
Quem vê o quê
Cada perfil vê o mínimo necessário para fazer o seu trabalho.
- ✓Cada aluno só vê os seus próprios dados — o horário, a assiduidade e os movimentos dele.
- ✓O porteiro identifica quem passa, mas não tem acesso ao histórico de faltas de ninguém.
- ✓Um professor vê as suas aulas, não as de outros professores.
- ✓O coordenador só vê as turmas do curso que coordena.
- ✓Os registos de teste e simulação ficam marcados à parte e nunca contam para a assiduidade real.