Documentatie tehnica

Prezentare

Modulul pentru Senat ruleaza in aceeasi platforma, dar foloseste un context institutional separat. Domeniul public este senat.ipex.csint.ro, iar datele de lucru sunt filtrate dupa institutie la nivel de sesiune, API si persistenta.

Functionalitati

AutentificareParola si cod unic primit prin email la fiecare login; sesiune in cookie Secure, HttpOnly si SameSite Strict.

Separarea fluxurilorSenatul si Camera au domenii, comisii, repartizari si contexte de sesiune distincte.

ComisiiAdministrare completa, membri cu rol, telefon si email, adresa comisiei si destinatari suplimentari selectabili.

Documente IPEXCatalog COM/2026, metadate, tag-uri si fisiere sursa pastrate read-only.

Lucru parlamentarAlocare manuala multipla, selectie CAE, 24 de operatiuni Protocol 1, documente asociate si versiuni.

Circuit institutionalResponsabili, termene, corespondenta, numere de inregistrare, avizari si semnari asociate documentului.

TrasabilitateRoadmap grafic alimentat din starea efectiva a operatiunilor si flux cronologic al interventiilor.

AuditEvenimente administrative, autentificari si operatii pe documente legate prin HMAC-SHA256.

AutomatizareVerificare periodica IPEX la cinci minute, cu preluarea elementelor noi sau modificate.

Modelul operational al documentului

Documentul de baza pastreaza referinta canonica, titlul, dosarul, statusul scrutiny, termenul de subsidiaritate, tag-urile IPEX, tipul procedurii, selectia CAE si statusul intern. Relatiile cu comisiile, cele 24 de operatiuni, fisierele, corespondenta, avizarile si activitatea sunt entitati distincte. O versiune noua este legata de fisierul parinte, fara suprascrierea istoricului.

Arhitectura

BrowserNginx TLS / HTTP3Next.js pe loopbackSQLite + fisiere locale

Nginx expune exclusiv HTTP si HTTPS; traficul HTTP este redirectionat la HTTPS.
Aplicatia Next.js asculta numai pe 127.0.0.1:3000.
Datele operationale sunt in SQLite, iar fisierele incarcate sunt pastrate in spatiul persistent al aplicatiei.
Postfix accepta numai relay local si transmite outbound cu expeditorul senat@ipex.csint.ro.
Serviciile aplicatiei si sincronizarea periodica sunt administrate prin systemd.

Securitate si control acces

Autentificare in doi pasi prin parola si OTP email.
Cookie-uri de sesiune Secure, HttpOnly si SameSite Strict, cu expirare controlata.
Validarea stricta a originii publice HTTPS pentru login si verificarea OTP.
Control de acces pe rol: administrare generala versus lucru limitat la comisiile alocate.
Protectie CSRF pentru operatiile care modifica date.
Rate limiting pe endpointurile de autentificare si limite explicite pentru upload.
Content Security Policy cu nonce, HSTS, blocarea framing-ului si politici restrictive pentru capabilitatile browserului.
Jurnal append-only cu lant HMAC-SHA256 si verificare vizibila a integritatii.
Fisiere acceptate: PDF, DOCX si ODT; fiecare upload primeste amprenta SHA-256.

Roadmap · To be done

Autentificare cu dispozitive hardware

Etapa urmatoare elimina dependenta contului administrativ de parola si cod email ca mecanism principal. Implementarea planificata foloseste standardul WebAuthn, fara stocarea secretelor biometrice in aplicatie.

01

Windows Hello pentru administrator

Autentificare prin passkey protejat de dispozitiv, cu verificare locala prin Windows Hello.

02

Cheie hardware de rezerva

Inrolarea unui token hardware FIDO2/WebAuthn ca autentificator alternativ pentru acelasi administrator, cu prezenta fizica obligatorie la utilizare.

03

Recuperare controlata

Procedura separata pentru pierderea dispozitivului, revocarea credentialului si inrolarea unei chei de rezerva, toate inregistrate in jurnalul de audit.

04

Tranzitie si validare

OTP-ul pe email ramane temporar disponibil pana la finalizarea inrolarii, testarea compatibilitatii si validarea de securitate.

Integrare IPEX

Integrarea este read-only. Aplicatia preia catalogul COM/2026, metadatele, clasificarea si fisierele disponibile, fara sa modifice continutul din IPEX. Sincronizarea ruleaza la cinci minute, cauta elemente noi sau modificate si evita duplicatele.

Alocarea pe comisii ramane manuala. Automatizarea repartizarii va fi introdusa numai dupa aprobarea profilurilor deterministe de rutare si a fluxului procedural.

Functionarea aplicatiei

Componentele sunt separate dupa responsabilitate, iar interfata publica nu expune serviciile interne. Disponibilitatea aplicatiei este verificata printr-un endpoint dedicat de sanatate.

Aplicatie webInterfata, autentificare si reguli de acces

Sincronizare IPEXActualizare automata la 5 minute

Gateway HTTPSTLS, HTTP/3 si politici de securitate

Serviciu emailTransmiterea codurilor OTP si mesajelor