security: закрыть уязвимости аудита (PRJ-6)

- gunicorn вместо dev-сервера Werkzeug; non-root user в Dockerfile
- volume sqlite_data для БД (заявки не теряются при rebuild)
- consultations.db и data/ в .dockerignore (ПДн не попадают в образ)
- Secure-куки по умолчанию (COOKIE_SECURE=1), лимит сессии 12ч
- защитные заголовки: CSP, X-Frame-Options, nosniff, Referrer-Policy, Permissions-Policy
- MAX_CONTENT_LENGTH 64КБ
- анти-брутфорс админки: 5 попыток -> блокировка 15 мин + лимит 5/мин
- обязательный чекбокс согласия на обработку ПДн + страница /privacy
- .env.example: понятные плейсхолдеры, COOKIE_SECURE

.dockerignore

@@ -9,3 +9,7 @@ __pycache__
 venv
 *.log
 logs
+# БД с персональными данными не должна попадать в docker-образ
+consultations.db
+data/
+*.db

.env.example

@@ -1,7 +1,9 @@
 # Обязательные переменные. Без них приложение не запустится.
-SECRET_KEY=сгенерируйте-случайную-строку-50-символов
+SECRET_KEY=change-me-strong-random-secret
-ADMIN_PASSWORD=надёжный-пароль-админки
+ADMIN_PASSWORD=change-me-strong-admin-password
+
+# Secure-куки: сайт работает только по HTTPS, держать включённым (=1)
+COOKIE_SECURE=1
 
 # Необязательные
 # FLASK_DEBUG=1        # только для локальной разработки
-# COOKIE_SECURE=1      # включить при работе по HTTPS

.gitignore

@@ -3,3 +3,4 @@ __pycache__/
 *.pyc
 .env
 consultations.db
+data/

Dockerfile

@@ -16,6 +16,13 @@ COPY . .
 # Не dev-режим по умолчанию
 ENV FLASK_DEBUG=0
 
+# Не запускать от имени root
+RUN useradd --create-home --uid 10001 appuser \
+    && mkdir -p /app/data \
+    && chown -R appuser:appuser /app
+USER appuser
+
 EXPOSE 5000
 
-CMD ["python", "app.py"]
+# Production: gunicorn вместо dev-сервера Werkzeug
+CMD ["gunicorn", "--bind", "0.0.0.0:5000", "--workers", "2", "--timeout", "60", "app:app"]

app.py

@@ -14,7 +14,7 @@ from flask_wtf import CSRFProtect
 
 
 BASE_DIR = Path(__file__).resolve().parent
-DATABASE_PATH = BASE_DIR / "consultations.db"
+DATABASE_PATH = BASE_DIR / "data" / "consultations.db"
 SUBJECTS = {"math": "Математика"}
 EXAMS = {"oge": "ОГЭ", "ege": "ЕГЭ", "other": "Пока не определились"}
 FORMATS = {"online": "Онлайн", "offline": "Очно", "other": "Пока не определились"}
@@ -37,7 +37,10 @@ if not app.config["SECRET_KEY"]:
     raise RuntimeError("SECRET_KEY не задан. Установите переменную окружения SECRET_KEY.")
 app.config["SESSION_COOKIE_HTTPONLY"] = True
 app.config["SESSION_COOKIE_SAMESITE"] = "Lax"
-app.config["SESSION_COOKIE_SECURE"] = os.environ.get("COOKIE_SECURE", "0") == "1"
+# Secure-куки по умолчанию включены (сайт работает только по HTTPS)
+app.config["SESSION_COOKIE_SECURE"] = os.environ.get("COOKIE_SECURE", "1") == "1"
+app.config["PERMANENT_SESSION_LIFETIME"] = 60 * 60 * 12  # 12 часов
+app.config["MAX_CONTENT_LENGTH"] = 64 * 1024  # 64 КБ — защита от гигантских POST
 
 csrf = CSRFProtect(app)
 
@@ -49,7 +52,23 @@ limiter = Limiter(
 )
 
 
+@app.after_request
+def set_security_headers(response):
+    """Базовые защитные HTTP-заголовки."""
+    response.headers.setdefault("X-Content-Type-Options", "nosniff")
+    response.headers.setdefault("X-Frame-Options", "DENY")
+    response.headers.setdefault("Referrer-Policy", "strict-origin-when-cross-origin")
+    response.headers.setdefault("Permissions-Policy", "camera=(), microphone=(), geolocation=()")
+    response.headers.setdefault(
+        "Content-Security-Policy",
+        "default-src 'self'; img-src 'self' data:; style-src 'self'; script-src 'self'; "
+        "font-src 'self' data:; frame-ancestors 'none'; base-uri 'self'; form-action 'self'",
+    )
+    return response
+
+
 def get_connection():
+    DATABASE_PATH.parent.mkdir(parents=True, exist_ok=True)
     connection = sqlite3.connect(DATABASE_PATH)
     connection.row_factory = sqlite3.Row
     return connection
@@ -112,6 +131,11 @@ def submit_request():
     format_key = request.form.get("format", "").strip()
     preferred_time_key = request.form.get("preferred_time", "").strip()
     message = request.form.get("message", "").strip()[:2000]
+    consent = request.form.get("consent", "").strip()
+
+    if consent != "on":
+        flash("Необходимо согласие на обработку персональных данных.", "error")
+        return redirect(url_for("index") + "#contact")
 
     if (
         not name
@@ -155,6 +179,11 @@ def success():
     return render_template("success.html", name=request.args.get("name", ""))
 
 
+@app.get("/privacy")
+def privacy_policy():
+    return render_template("privacy.html")
+
+
 def admin_required(view):
     @wraps(view)
     def wrapped_view(*args, **kwargs):
@@ -230,11 +259,20 @@ def fetch_stats(connection):
 
 
 @app.route("/admin/login", methods=["GET", "POST"])
-@limiter.limit("10 per minute")
+@limiter.limit("5 per minute")
 def admin_login():
     if session.get("is_admin"):
         return redirect(url_for("admin_dashboard"))
 
+    # анти-брутфорс: 5 неудачных попыток -> блокировка на 15 минут
+    failed = session.get("login_failed", 0)
+    locked_until = session.get("login_locked_until", 0)
+    now = datetime.now().timestamp()
+    if locked_until and now < locked_until:
+        remaining = int(locked_until - now)
+        flash(f"Слишком много попыток входа. Подождите {remaining // 60 + 1} мин.", "error")
+        return render_template("admin_login.html")
+
     if request.method == "POST":
         password = request.form.get("password", "")
         admin_password = os.environ.get("ADMIN_PASSWORD")
@@ -246,7 +284,14 @@ def admin_login():
             session["is_admin"] = True
             return redirect(url_for("admin_dashboard"))
 
-        flash("Неверный пароль.", "error")
+        failed += 1
+        if failed >= 5:
+            session["login_locked_until"] = now + 15 * 60
+            session["login_failed"] = 0
+            flash("Слишком много попыток входа. Вход заблокирован на 15 минут.", "error")
+        else:
+            session["login_failed"] = failed
+            flash(f"Неверный пароль. Осталось попыток: {5 - failed}.", "error")
 
     return render_template("admin_login.html")
 

docker-compose.yml

@@ -6,4 +6,10 @@ services:
       - "5000:5000"
     env_file:
       - .env
+    volumes:
+      # БД с заявками (ПДн) — на постоянном volume, не теряется при rebuild
+      - sqlite_data:/app/data
     restart: unless-stopped
+
+volumes:
+  sqlite_data:

requirements.txt

@@ -1,3 +1,4 @@
 Flask>=3.0,<4.0
 Flask-WTF>=1.2,<2.0
 Flask-Limiter>=3.5,<4.0
+gunicorn>=22.0,<24.0

static/css/styles.css

@@ -567,17 +567,41 @@ h2 em {
 
 .subject-cards {
     display: grid;
+    grid-column: 2;
     grid-template-columns: repeat(2, 1fr);
-    gap: 18px;
+    gap: 24px;
     margin-top: 48px;
 }
 
 .subject-card {
+    position: relative;
     display: flex;
-    min-height: 390px;
+    min-height: 400px;
     flex-direction: column;
     justify-content: space-between;
-    padding: 26px 28px 24px;
+    padding: 34px 32px 30px;
+    border-radius: 20px;
+    overflow: hidden;
+    transition: transform 180ms ease, box-shadow 180ms ease;
+}
+
+.subject-card::before {
+    content: "";
+    position: absolute;
+    inset: 0 0 auto;
+    height: 3px;
+    background: var(--coral);
+    opacity: 0;
+    transition: opacity 180ms ease;
+}
+
+.subject-card:hover {
+    transform: translateY(-5px);
+    box-shadow: 0 22px 44px -22px rgba(16, 33, 29, 0.35);
+}
+
+.subject-card:hover::before {
+    opacity: 1;
 }
 
 .subject-card-dark {
@@ -590,20 +614,35 @@ h2 em {
     background: var(--sage);
 }
 
+.subject-card-accent:hover {
+    box-shadow: 0 22px 44px -22px rgba(16, 33, 29, 0.4);
+}
+
 .card-top {
     display: flex;
-    align-items: start;
+    align-items: center;
     justify-content: space-between;
 }
 
 .card-icon {
     display: grid;
-    width: 45px;
+    width: 52px;
-    height: 45px;
+    height: 52px;
+    flex: 0 0 auto;
     place-items: center;
-    border: 1px solid currentColor;
     border-radius: 50%;
-    font: 20px var(--serif);
+    font: 26px var(--serif);
+    font-weight: 600;
+}
+
+.subject-card-dark .card-icon {
+    color: var(--ink);
+    background: var(--sage-deep);
+}
+
+.subject-card-accent .card-icon {
+    color: var(--white);
+    background: var(--coral);
 }
 
 .subject-card .card-number {
@@ -614,11 +653,17 @@ h2 em {
     color: var(--coral);
 }
 
+.card-body {
+    margin: 28px 0 30px;
+}
+
 .card-kicker {
-    margin-bottom: 10px;
+    margin-bottom: 12px;
     color: var(--coral-soft);
-    font-size: 9px;
+    font-size: 10px;
-    letter-spacing: 0.11em;
+    font-weight: 800;
+    letter-spacing: 0.14em;
+    text-transform: uppercase;
 }
 
 .subject-card-accent .card-kicker {
@@ -627,27 +672,65 @@ h2 em {
 
 .subject-card h3 {
     margin-bottom: 16px;
-    font: 500 clamp(36px, 4vw, 52px)/1 var(--serif);
+    font: 500 clamp(34px, 3.4vw, 46px)/1.05 var(--serif);
-    letter-spacing: -0.05em;
+    letter-spacing: -0.04em;
 }
 
 .card-description {
     max-width: 340px;
     margin-bottom: 0;
-    color: rgba(255, 255, 255, 0.63);
+    color: rgba(255, 255, 255, 0.66);
-    font-size: 12px;
+    font-size: 13px;
-    line-height: 1.7;
+    line-height: 1.75;
 }
 
 .subject-card-accent .card-description {
-    color: rgba(16, 33, 29, 0.65);
+    color: rgba(16, 33, 29, 0.68);
 }
 
 .card-link {
-    font-size: 11px;
+    display: inline-flex;
+    align-items: center;
+    justify-content: space-between;
+    gap: 12px;
+    padding-top: 22px;
+    border-top: 1px solid rgba(255, 255, 255, 0.14);
+    font-size: 12px;
     font-weight: 800;
 }
 
+.subject-card-accent .card-link {
+    border-top-color: rgba(16, 33, 29, 0.16);
+}
+
+.card-link span {
+    display: grid;
+    width: 36px;
+    height: 36px;
+    margin-left: 0;
+    place-items: center;
+    border: 1px solid currentColor;
+    border-radius: 50%;
+    font-size: 15px;
+    transition: transform 180ms ease, background-color 180ms ease;
+}
+
+.card-link:hover span {
+    transform: translateX(4px);
+}
+
+.subject-card-dark .card-link:hover span {
+    background: var(--coral);
+    border-color: var(--coral);
+    color: var(--white);
+}
+
+.subject-card-accent .card-link:hover span {
+    background: var(--ink);
+    border-color: var(--ink);
+    color: var(--white);
+}
+
 .process {
     padding-bottom: 12px;
 }
@@ -1494,11 +1577,13 @@ textarea {
     }
 
     .subject-cards {
+        grid-column: 1;
         margin-top: 32px;
     }
 
     .subject-card {
-        min-height: 330px;
+        min-height: 360px;
+        padding: 30px 26px 26px;
     }
 
     .process-list {

templates/index.html

@@ -82,13 +82,27 @@
                 </div>
                 <div class="subject-cards">
                     <article class="subject-card subject-card-dark">
-                        <div class="card-top"><span class="card-number">01</span><span class="card-icon">∑</span></div>
+                        <div class="card-top">
-                        <div><p class="card-kicker">Подготовка</p><h3>Математика</h3><p class="card-description">От уверенной базы до сложных задач второй части. Разбираем теорию, практику и стратегию экзамена.</p></div>
+                            <span class="card-number">01</span>
+                            <span class="card-icon">∑</span>
+                        </div>
+                        <div class="card-body">
+                            <p class="card-kicker">Подготовка</p>
+                            <h3>Математика</h3>
+                            <p class="card-description">От уверенной базы до сложных задач второй части. Разбираем теорию, практику и стратегию экзамена.</p>
+                        </div>
                         <a href="#contact" class="card-link">Обсудить подготовку <span>↗</span></a>
                     </article>
                     <article class="subject-card subject-card-accent">
-                        <div class="card-top"><span class="card-number">02</span><span class="card-icon">√</span></div>
+                        <div class="card-top">
-                        <div><p class="card-kicker">Подготовка</p><h3>ОГЭ и ЕГЭ</h3><p class="card-description">Готовимся к экзаменам по математике: разбираем структуру, тренируемся на реальных заданиях и отрабатываем стратегию набора баллов.</p></div>
+                            <span class="card-number">02</span>
+                            <span class="card-icon">√</span>
+                        </div>
+                        <div class="card-body">
+                            <p class="card-kicker">Подготовка</p>
+                            <h3>ОГЭ и ЕГЭ</h3>
+                            <p class="card-description">Готовимся к экзаменам по математике: разбираем структуру, тренируемся на реальных заданиях и отрабатываем стратегию набора баллов.</p>
+                        </div>
                         <a href="#contact" class="card-link">Обсудить подготовку <span>↗</span></a>
                     </article>
                 </div>
@@ -146,6 +160,7 @@
                         </div>
                         <fieldset class="format-field"><legend>Формат занятий <span>*</span></legend><div class="radio-options"><label><input type="radio" name="format" value="online" required><span>Онлайн</span></label><label><input type="radio" name="format" value="offline"><span>Очно</span></label><label><input type="radio" name="format" value="other"><span>Не знаю</span></label></div></fieldset>
                         <label>Комментарий <span class="optional">необязательно</span><textarea name="message" rows="3" placeholder="Расскажите, какая цель у занятий..."></textarea></label>
+                        <label class="consent-label"><input type="checkbox" name="consent" value="on" required> <span>Я согласен на обработку персональных данных в соответствии с <a href="{{ url_for('privacy_policy') }}">политикой конфиденциальности</a>. <b>*</b></span></label>
                         <button class="button button-primary form-button" type="submit">Отправить заявку <span>↗</span></button>
                         <p class="form-note">Нажимая кнопку, вы соглашаетесь на обработку персональных данных.</p>
                     </form>

templates/privacy.html

@@ -0,0 +1,51 @@
+<!doctype html>
+<html lang="ru">
+<head>
+    <meta charset="UTF-8">
+    <meta name="viewport" content="width=device-width, initial-scale=1.0">
+    <meta name="description" content="Политика конфиденциальности — Анастасия Панкратенкова, математика.">
+    <title>Политика конфиденциальности — Анастасия Панкратенкова</title>
+    <link rel="stylesheet" href="{{ url_for('static', filename='css/styles.css') }}">
+</head>
+<body>
+    <div class="page-shell">
+        <header class="site-header">
+            <a class="brand" href="{{ url_for('index') }}" aria-label="На главную">
+                <span class="brand-mark">АП</span>
+                <span class="brand-name">Анастасия<br>Панкратенкова</span>
+            </a>
+            <nav class="main-nav" aria-label="Основная навигация">
+                <a href="{{ url_for('index') }}#about">О преподавателе</a>
+                <a href="{{ url_for('index') }}#subjects">Направления</a>
+                <a href="{{ url_for('index') }}#contact">Записаться</a>
+            </nav>
+        </header>
+
+        <main class="privacy-content" style="max-width: 820px; margin: 0 auto; padding: 64px 24px 96px;">
+            <p class="eyebrow"><span class="eyebrow-dot"></span> Юридическая информация</p>
+            <h1>Политика<br><em>конфиденциальности</em></h1>
+            <p class="privacy-lead">Этот сайт использует персональные данные только для обработки заявок на консультации.</p>
+
+            <h2>Какие данные собираются</h2>
+            <p>При заполнении формы могут быть указаны имя, контакт (телефон или Telegram), предмет, экзамен, формат занятий, желаемое время и комментарий к заявке.</p>
+
+            <h2>Зачем они нужны</h2>
+            <p>Данные используются исключительно для связи с заявителем, ответа на вопросы и подготовки к занятиям.</p>
+
+            <h2>Хранение и защита</h2>
+            <p>Заявки хранятся в защищённой базе данных. Доступ к ним имеет только преподаватель. Данные не передаются третьим лицам и не используются для рекламных рассылок.</p>
+
+            <h2>Отзыв согласия</h2>
+            <p>Чтобы уточнить, изменить или удалить сведения из заявки, свяжитесь с преподавателем тем же способом, который был указан при записи.</p>
+
+            <a class="button button-primary" href="{{ url_for('index') }}#contact" style="margin-top: 32px;">Вернуться к записи <span>↗</span></a>
+        </main>
+
+        <footer class="site-footer section-wrap">
+            <a class="brand" href="{{ url_for('index') }}"><span class="brand-mark">АП</span><span class="brand-name">Анастасия<br>Панкратенкова</span></a>
+            <p>Математика<br>с пониманием.</p>
+            <span>© {{ current_year }}</span>
+        </footer>
+    </div>
+</body>
+</html>