מסמך מדיניות אבטחה — מערכת מתמטיקה כיתה ד׳

🏗️ 1. סקירה כללית וארכיטקטורה

ארכיטקטורת המערכת — MVP

שכבה	טכנולוגיה	תפקיד
Frontend	HTML + Vanilla JS + Tailwind	ממשקי משתמש (23 דפים)
Web Server	Caddy v2	HTTPS, reverse proxy, static files
VPS	Hostinger 8GB RAM	IP: 76.13.2.214, Ubuntu
Storage	localStorage (client-side)	הגדרות, נתונים, sessions
Grading API	Google Apps Script	שליחת תוצאות ל-Google Sheets
DNS	Porkbun (volxim.com)	math.volxim.com → VPS

ℹ️

הבהרה: ב-MVP, אין backend/DB מרכזי. כל הנתונים מאוחסנים ב-localStorage בדפדפן. זה מספק הפרדה טבעית — כל מורה/תלמיד רואה רק את הנתונים שלו. בשלב 2 (Supabase) תתווסף הפרדה ברמת שרת.

תרשים רכיבים

  Browser (Teacher/Admin/Student)
    │
    ├── HTTPS (TLS 1.3) ──► Caddy (port 80/443)
    │                           │
    │                           ├── /exam_system/admin.html    [Admin Dashboard]
    │                           ├── /exam_system/exam.html     [Student Exam]
    │                           ├── /exam_system/chatbot.html  [Knowledge Bot]
    │                           └── ... (23 pages total)
    │
    └── Google Apps Script ──► Google Sheets (Exam Results)

👥 2. ניהול תפקידים והרשאות (RBAC)

👑

Owner

גישה מלאה, ניהול מנהלים, מדיניות אבטחה

🛡️

Admin

ניהול מורים, אישור תכנים, יומן פעולות, התראות

📚

Teacher

צפייה בתוצאות, ניהול כיתה, הערות לתלמידים

🎓

Student

מבחנים, משחקים, פרופיל אישי, גיימיפיקציה

👤

Guest

צפייה בדף הבית וחוברות לימוד בלבד

מטריצת הרשאות

פעולה	Owner	Admin	Teacher	Student	Guest
ניהול מנהלים	✅	❌	❌	❌	❌
ניהול מורים	✅	✅	❌	❌	❌
אישור/דחייה של תוכן	✅	✅	❌	❌	❌
צפייה ביומן פעולות	✅	✅	❌	❌	❌
צפייה בתוצאות מבחנים	✅	✅	✅	❌	❌
ייצוא CSV/JSON	✅	✅	✅	❌	❌
ביצוע מבחנים	❌	❌	❌	✅	❌
צפייה בגיימיפיקציה	✅	✅	✅	✅	❌
צפייה בחוברות לימוד	✅	✅	✅	✅	✅
שחרור פתרונות	✅	✅	❌	❌	❌
חסימת משתמשים	✅	✅	❌	❌	❌

מימוש נוכחי (MVP)

⚠️

MVP — הפרדה ברמת URL:

admin.html — גישה דרך 2FA (סיסמה + OTP)
teacher_dashboard.html — גישה ישירה (ללא auth)
exam.html — הרשמה עם שם + כיתה + קוד
student_profile.html — הרשמה עם שם + כיתה

שלב 2: JWT tokens + Supabase RLS יאכפו הרשאות ברמת שרת.

📄 3. מחזור חיי תוכן (Content Lifecycle)

Draft

→

Pending Approval

→

Approved

→

Published

→

Archived

Pending Approval →

Rejected

→

Draft (חוזר לעריכה)

כללים

מורה יוצר תוכן → סטטוס Draft
מורה שולח לאישור → סטטוס Pending Approval
מנהל מאשר/דוחה + מוסיף הערות → Approved / Rejected
מנהל מפרסם → Published (נגיש לתלמידים)
תוכן ישן → Archived (לא ניתן לגישה, נשמר לתיעוד)
כל מעבר סטטוס מתועד ביומן פעולות עם חותמת זמן ושם מבצע

מימוש

טאב "אישור תכנים" ב-admin.html — טבלה עם סינון לפי סטטוס/סוג, מודל שינוי סטטוס עם הערות, שליטה בנראות פתרונות, ו-scheduled release.

🔐 4. אימות והזדהות (Authentication)

דשבורד מנהל — 2FA

שלב	מנגנון	פרטים
שלב 1	סיסמה	סיסמת מנהל (ניתנת לשינוי בהגדרות)
שלב 2	OTP (Time-based)	קוד 6 ספרות, תקף 5 דקות, נוסחה: `floor(now/60000)*7 % 1000000`
נעילה	Lockout	3 ניסיונות כושלים → נעילה ל-15 דקות
Session	sessionStorage	נמחק בסגירת טאב, ללא persistence

🚨

מגבלות MVP: OTP נוצר בצד הלקוח (לא SMS/Email חיצוני). מספיק לסביבה חינוכית סגורה אך לא מתאים לסביבת production פתוחה.
שלב 2: Supabase Auth + JWT + Email OTP / Magic Link.

דשבורד מורה

כרגע — גישה פתוחה. בשלב 2 תתווסף הזדהות.

מבחנים (תלמידים)

הזדהות בטופס הרשמה: שם פרטי + שם משפחה + כיתה + קוד מבחן. הקוד מונע גישה בלתי מורשית.

🔏 5. הפרדת פתרונות (Solutions Isolation)

עקרון

תשובות נכונות ופתרונות אינם נגישים לתלמידים עד שהמנהל משחרר אותם בצורה מפורשת.

מימוש נוכחי

מבחן דיגיטלי: תשובות מוטמעות ב-JS object אבל הבדיקה מתבצעת רק בשליחה. Anti-copy מונע copy-paste של קוד המקור.
טאב אישור תכנים: Toggle "הצגת פתרונות" — מנהל קובע אם פתרונות נראים. אפשרות Scheduled Release — שחרור אוטומטי לפי תאריך/שעה.
מבחנים מודפסים: חוברת תשובות נפרדת מחוברת שאלות.

ℹ️

שלב 2 (Supabase): טבלת solutions נפרדת עם RLS policy — תלמיד לא יכול לגשת לשורות solutions עד ש-released_at ≤ NOW(). Signed URLs לקבצי PDF עם תשובות.

🔐 6. אבטחת תעבורה (HTTPS/TLS)

פרמטר	ערך
תעודה	Let's Encrypt (אוטומטית דרך Caddy)
פרוטוקול	TLS 1.3
HTTP→HTTPS	Redirect אוטומטי (Caddy default)
HSTS	מופעל אוטומטית ע״י Caddy
Domain	math.volxim.com

✅

סטטוס: HTTPS פעיל ומאומת. כל 23 הדפים נגישים רק דרך HTTPS.

📝 7. יומן פעולות (Audit Log)

מידע שנשמר

שדה	תיאור	דוגמה
user	שם המשתמש המבצע	"מנהל ראשי"
action	סוג הפעולה	"אישור תוכן", "חסימת משתמש"
target	אובייקט היעד	"מבחן ביניים 1"
timestamp	חותמת זמן ISO	"2026-02-22T10:30:00"
details	פרטים נוספים	"סטטוס שונה מ-pending ל-approved"

אחסון

MVP: localStorage — מפתחות: admin_audit_log, security_events, admin_login_attempts
שלב 2: טבלת audit_logs ב-Supabase עם שדה ip_address ו-user_agent

תפוגה

MVP: לא מוגבל (localStorage). שלב 2: 90 ימים, ארכיון ל-cold storage אחרי שנה.

🛡️ 8. אנטי-העתקה במבחנים

#	מנגנון	תיאור	סטטוס
1	Seeded PRNG	כל תלמיד מקבל סדר שאלות ייחודי לפי hash של השם+כיתה	פעיל
2	Question Shuffle	שאלות מעורבלות בתוך כל קטגוריה (שברים, כפל)	פעיל
3	Answer Shuffle	סדר אפשרויות התשובה מעורבל (שאלות אמריקאיות)	פעיל
4	Version Badge	קוד גרסה 3-ספרות בממשק — מאפשר למורה לזהות גרסאות	פעיל
5	Anti-Copy	חסימת right-click, Ctrl+C/V/A, CSS user-select:none	פעיל
6	Tab Switch Detection	זיהוי מעבר בין טאבים + באנר אדום + דיווח	פעיל
7	Suspicion Flagging	5+ תשובות ב-10 שניות → דגל חשוד + נקודה כתומה	פעיל

נתונים שנשלחים למורה (Google Sheets)

{
  versionCode: "417",
  seed: 2847156,
  questionOrder: [3,1,5,2,4,...],
  tabSwitches: 2,
  suspiciousActivity: "לא",
  timestamp: "2026-02-22T10:45:30"
}

🤖 9. מדיניות צ׳אטבוט — 3 Strikes

תהליך

Strike 1: שאלה לא רלוונטית → הודעת אזהרה ידידותית
Strike 2: שאלה נוספת לא רלוונטית → אזהרה חמורה יותר
Strike 3: ניסיון שלישי → חסימה אוטומטית + הודעה למנהל

הודעת ברירת מחדל

"אני בוט שנותן מענה רק על תוכן האתר math.volxim.com. אם יש לך שאלה על שברים, כפל מאונך או שימוש במערכת — אשמח לעזור! 😊"

localStorage Keys

מפתח	תוכן
`chatbot_history`	היסטוריית שיחה מלאה (שחזור בטעינה מחדש)
`chatbot_blocked`	true/false — סטטוס חסימה
`chatbot_blocked_time`	חותמת זמן חסימה
`chatbot_abuse_log`	לוג ניסיונות סטייה מפורט
`admin_alerts`	התראות שנשלחות לדשבורד מנהל

שחרור חסימה

מנהל → טאב "התראות אבטחה" ב-admin.html → רשימת משתמשים חסומים → כפתור "שחרר".

💾 10. גיבויים ושחזור

מצב נוכחי — MVP

רכיב	שיטת גיבוי	תדירות
קוד מקור (HTML/JS/CSS)	Git + גיבויים מקומיים	לפני כל שינוי
קבצי VPS	rsync מ-local	בכל deploy
נתוני localStorage	אין גיבוי אוטומטי	—
Google Sheets (תוצאות)	Google auto-save + version history	אוטומטי

קונבנציית גיבוי

backups/admin_pre_v3_20260222_120000.html
backups/exam_pre_v2_20260222_120000.html
backups/dashboard_vXX_description_YYYYMMDD_HHMMSS.html

שלב 2 — גיבוי מוצפן יומי (מתוכנן)

Supabase daily backup (managed, encrypted at rest)
pg_dump → AES-256 encryption → S3/Backblaze B2
שמירת 7 גיבויים אחרונים, ארכיון חודשי
בדיקת שחזור רבעונית

🔒 11. פרטיות מידע תלמידים

מידע שנאסף

סוג מידע	איסוף	אחסון	שימוש
שם פרטי + משפחה	טופס הרשמה	localStorage + Google Sheets	זיהוי, תוצאות, לידרבורד (ראשי תיבות)
כיתה	טופס הרשמה	localStorage + Google Sheets	קיבוץ, סינון
תוצאות מבחן	אוטומטי	Google Sheets	הערכה, דוחות למורה
XP ומדליות	אוטומטי	localStorage	גיימיפיקציה
Tab switches	אוטומטי	localStorage + Sheets	אנטי-העתקה

⚠️

חשוב: לא נאסף מידע רגיש (ת.ז., כתובת, טלפון). הלידרבורד מציג רק ראשי תיבות (לדוגמה: "י.כ.") לשמירה על פרטיות.

עקרונות פרטיות

מינימום מידע — רק מה שנדרש לתפקוד
אנונימיזציה בלידרבורד — ראשי תיבות בלבד
אין cookies — localStorage בלבד
אין tracking חיצוני — לא Google Analytics, לא Facebook Pixel
נתונים לא נשלחים לצד שלישי (חוץ מ-Google Sheets לתוצאות)

🚨 12. תגובה לאירועי אבטחה

סוגי אירועים וטיפול

אירוע	זיהוי	תגובה אוטומטית	תגובת מנהל
3+ ניסיונות OTP כושלים	admin.html login	נעילה 15 דקות	בדיקת יומן attempts
3 שאלות חיצוניות בצ׳אט	chatbot 3-strike	חסימה + התראה	סקירה + שחרור/חסימה
5+ תשובות ב-10 שניות	exam suspicion	דגל כתום + logging	בדיקת תוצאות
Tab switches במבחן	visibilitychange API	באנר אדום + logging	בדיקת ספירה
ניסיון העתקה (Ctrl+C)	keydown listener	חסימה + אזהרה	—

תהליך טיפול באירוע

זיהוי: המערכת מזהה אוטומטית ומתעדת
הכלה: פעולה אוטומטית (חסימה/נעילה/דגל)
התראה: שליחה ל-admin_alerts → מופיע בדשבורד מנהל
חקירה: מנהל בודק יומן פעולות + פרטי אירוע
תיקון: שחרור/חסימה ידנית + הערות
למידה: עדכון מדיניות אם נדרש

🗺️ 13. מפת דרכים — שלב 2 (Supabase)

פיצ׳ר	טכנולוגיה	תועלת
JWT Authentication	Supabase Auth	הזדהות מאובטחת לכל משתמש
Row-Level Security (RLS)	Supabase Policies	תלמיד רואה רק את הנתונים שלו
Signed URLs	Supabase Storage	קישורים זמניים לקבצים פרטיים
Encrypted Backups	pg_dump + AES-256	גיבוי מוצפן יומי
Email OTP / Magic Link	Supabase Auth	2FA חיצוני (לא client-side)
Audit Log Server-side	DB Trigger + Table	יומן לא ניתן למחיקה + IP logging
RBAC Enforcement	Supabase Policies	הרשאות ברמת API, לא רק UI
Rate Limiting	Caddy / Middleware	הגנה מפני brute force

📊 14. סיכום סטטוסים

✓
RBAC — 5 תפקידים מוגדרים (Owner/Admin/Teacher/Student/Guest)
✓
Content Lifecycle — Draft→Pending→Approved→Published→Archived + Rejected
✓
2FA למנהלים — סיסמה + OTP + lockout
✓
HTTPS — TLS 1.3 via Caddy + Let's Encrypt
✓
Audit Log — user, action, target, timestamp
✓
Anti-Cheat — 7 מנגנונים פעילים
✓
Chatbot 3-Strike — חסימה + התראה למנהל
✓
הפרדת פתרונות — Toggle + Scheduled Release
✓
פרטיות — מינימום מידע, אנונימיזציה, ללא tracking
⏳
Signed URLs — מתוכנן לשלב 2 (Supabase)
⏳
JWT Authentication — מתוכנן לשלב 2
⏳
RLS — מתוכנן לשלב 2
⏳
Encrypted Backups — מתוכנן לשלב 2