सुरक्षा
स्कूल ERP बच्चों के रिकॉर्ड रखता है। इससे ख़तरे का ढाँचा बदल जाता है।
नीचे लिखा हर नियंत्रण आज उत्पाद में लागू है। इस पृष्ठ पर किसी प्रमाणन का दावा नहीं है, क्योंकि प्रमाणन एक ऑडिट है, कोई सुविधा नहीं।
उत्पाद में मौजूद नियंत्रण
किसी अनुपालन ढाँचे के हिसाब से नहीं, बल्कि इस हिसाब से समूहित कि वे असल में क्या रोकते हैं।
संस्था-वार अलगाव
हर रिकॉर्ड अपनी संस्था साथ रखता है, और क्वेरी उसी तक सीमित रहती है। एक स्कूल दूसरे का डेटा नहीं पढ़ सकता।
भूमिका आधारित पहुँच
प्रशासक, शिक्षक, अभिभावक और विद्यार्थी — हर एक का अलग पोर्टल। शिक्षक की अंक तालिका उसके अपने सेक्शन तक ही है।
ऑडिट लॉग
कार्रवाइयाँ उपयोगकर्ता, संस्था और प्रभावित वस्तु के विरुद्ध दर्ज होती हैं — इसलिए "यह अंक किसने बदला" का जवाब मौजूद रहता है।
केवल निमंत्रण से अभिभावक पहुँच
अभिभावक किसी विशेष विद्यार्थी के विरुद्ध आमंत्रित होते हैं। प्रवेश संख्या से कोई ख़ुद पंजीकरण करके बच्चे के रिकॉर्ड में नहीं आता।
दर-सीमित प्रमाणीकरण
साइन-इन एंडपॉइंट प्रति IP दर-सीमित हैं, जो पासवर्ड आज़माने की कोशिश को बेकार दोपहर में बदल देता है।
हस्ताक्षरित पेमेंट वेबहुक
हर Razorpay वेबहुक प्रोसेस होने से पहले HMAC से जाँचा जाता है, और दोहरी डिलीवरी दोबारा राशि जोड़ने के बजाय कुछ नहीं करती।
कड़े रिस्पॉन्स हेडर
फ़्रेमिंग बंद, MIME स्निफ़िंग बंद, सख़्त रेफ़रर नीति, और कैमरा, माइक्रोफ़ोन व लोकेशन डिफ़ॉल्ट रूप से निष्क्रिय।
विद्यार्थी डेटा खोज से बाहर
परिणाम खोज और प्रमाणपत्र सत्यापन पर noindex निर्देश और उससे मेल खाता हेडर है। बच्चे के अंक खोज सूची में नहीं होने चाहिए।
तुरंत प्रमाणपत्र रद्दीकरण
सत्यापन पृष्ठ कभी कैश नहीं होता, इसलिए रद्द किया गया प्रमाणपत्र अगली ही जाँच में रद्द दिखता है।
दिखने वाला इम्पर्सनेशन
जब कोई सहायता सत्र किसी उपयोगकर्ता के रूप में काम कर रहा हो, पूरे सत्र में एक बैनर यह बताता है। चुपचाप इम्पर्सनेशन उपलब्ध ही नहीं है।
सॉफ़्ट डिलीट
रिकॉर्ड मिटाए नहीं जाते, हटाया हुआ चिह्नित होते हैं, इसलिए ग़लती से हुआ विलोपन वापस लाया जा सकता है और ऑडिट रिकॉर्ड बचा रहता है।
त्रुटि निगरानी
सर्वर और क्लाइंट की त्रुटियाँ Sentry को भेजी जाती हैं, ताकि फ़ीस संग्रह की गड़बड़ी अभिभावक के बताने से पहले पकड़ी जाए।
दो फ़ैसले जिन्हें समझाना ज़रूरी है
परिणाम पृष्ठ क्रॉल होने योग्य और noindex हैं, ब्लॉक नहीं। पहला ख़याल robots.txt में Disallow जोड़ने का आता है। वह ग़लत औज़ार है: ब्लॉक किया URL कभी लाया ही नहीं जाता, इसलिए क्रॉलर उस पर लिखा noindex कभी पढ़ता नहीं — और किसी बाहरी लिंक के दम पर सिर्फ़ URL सूची में डाल सकता है। ब्लॉक करना और noindex करना एक बात नहीं है। किसी पृष्ठ को सूची से बाहर रखने के लिए क्रॉलर को अंदर आकर निर्देश पढ़ने देना पड़ता है।
प्रमाणपत्र सत्यापन कभी कैश नहीं होता। एक घंटे पहले रद्द हुए प्रमाणपत्र के लिए कैश किया गया "वैध" वह अकेली विफलता है जो यह सुविधा नहीं झेल सकती। सत्यापन पृष्ठ हर अनुरोध पर नए सिरे से बनता है, जिसकी थोड़ी क़ीमत ऐसे पृष्ठ पर चुकाना ठीक है जिसका पूरा मक़सद पढ़े जाने के क्षण सही होना है।
सुरक्षा को लेकर पूछे जाने वाले प्रश्न
क्या एक स्कूल दूसरे स्कूल का डेटा देख सकता है?
नहीं। हर रिकॉर्ड उसी संस्था तक सीमित है जिसका वह है, और क्वेरी उसी संस्था से छनती है। एकमात्र जानबूझकर रखा अपवाद साझा बोर्ड सूची है — CBSE हर स्कूल के लिए CBSE ही है — जिसमें कोई विद्यार्थी डेटा नहीं होता।
क्या विद्यार्थी परिणाम खोज इंजन में आते हैं?
नहीं। सार्वजनिक परिणाम खोज और प्रमाणपत्र सत्यापन पृष्ठों के मेटाडेटा में noindex निर्देश हैं और उससे मेल खाता X-Robots-Tag हेडर भी। वे जानबूझकर क्रॉल होने योग्य रहते हैं, क्योंकि robots.txt में ब्लॉक किया पृष्ठ कभी लाया नहीं जाता और उसका noindex कभी पढ़ा नहीं जाता।
बच्चे का रिकॉर्ड कौन देख सकता है?
अपनी भूमिका के अनुसार स्कूल का स्टाफ़, स्वयं विद्यार्थी, और वे अभिभावक जिन्हें स्कूल ने उस विद्यार्थी के विरुद्ध स्पष्ट रूप से आमंत्रित किया है। अभिभावक की पहुँच स्कूल देता है, कोई ख़ुद नहीं ले सकता।
ऑनलाइन फ़ीस भुगतान की पुष्टि कैसे होती है?
भुगतान ब्राउज़र रीडायरेक्ट से नहीं, Razorpay के हस्ताक्षरित वेबहुक से दर्ज होते हैं, जिन्हें प्रोसेस करने से पहले HMAC से जाँचा जाता है। दोहरी डिलीवरी कुछ नहीं करती, इसलिए गेटवे का पुनः प्रयास किसी इनवॉइस में दो बार राशि नहीं जोड़ सकता।
क्या इसका रिकॉर्ड रहता है कि किसने क्या बदला?
हाँ। कार्रवाइयाँ ऑडिट लॉग में कार्य करने वाले उपयोगकर्ता, संस्था और प्रभावित वस्तु के विरुद्ध लिखी जाती हैं, और इसी से विवादित अंक या पलटी गई फ़ीस का सुराग़ मिलता है।
क्या आपके पास SOC 2 या ISO 27001 प्रमाणन है?
यह पृष्ठ उत्पाद में लागू नियंत्रण बताता है, कोई ऑडिट किया प्रमाणन नहीं। यदि आपकी ख़रीद प्रक्रिया औपचारिक प्रमाण माँगती है, हमसे संपर्क कीजिए — हम इशारों में कहने के बजाय ठीक-ठीक बताएँगे कि हम कहाँ खड़े हैं।
अपनी सुरक्षा प्रश्नावली हमें भेजिए
अगर आपके ट्रस्ट या विश्वविद्यालय की कोई जाँच प्रक्रिया है, वह हमें भेजिए। हम चाहेंगे कि आप उसका सटीक उत्तर पाएँ, न कि किसी मार्केटिंग पृष्ठ से अंदाज़ा लगाएँ।