security: закрыть уязвимости аудита (PRJ-6)

- gunicorn вместо dev-сервера Werkzeug; non-root user в Dockerfile
- volume sqlite_data для БД (заявки не теряются при rebuild)
- consultations.db и data/ в .dockerignore (ПДн не попадают в образ)
- Secure-куки по умолчанию (COOKIE_SECURE=1), лимит сессии 12ч
- защитные заголовки: CSP, X-Frame-Options, nosniff, Referrer-Policy, Permissions-Policy
- MAX_CONTENT_LENGTH 64КБ
- анти-брутфорс админки: 5 попыток -> блокировка 15 мин + лимит 5/мин
- обязательный чекбокс согласия на обработку ПДн + страница /privacy
- .env.example: понятные плейсхолдеры, COOKIE_SECURE

.dockerignore

@@ -0,0 +1,15 @@
+.git
+.gitignore
+.idea
+__pycache__
+*.pyc
+*.pyo
+.env
+.venv
+venv
+*.log
+logs
+# БД с персональными данными не должна попадать в docker-образ
+consultations.db
+data/
+*.db

.env.example

@@ -1,2 +1,9 @@
-SECRET_KEY=replace-with-a-long-random-string
+# Обязательные переменные. Без них приложение не запустится.
-ADMIN_PASSWORD=replace-with-a-private-admin-password
+SECRET_KEY=change-me-strong-random-secret
+ADMIN_PASSWORD=change-me-strong-admin-password
+
+# Secure-куки: сайт работает только по HTTPS, держать включённым (=1)
+COOKIE_SECURE=1
+
+# Необязательные
+# FLASK_DEBUG=1        # только для локальной разработки

.gitignore

@@ -3,3 +3,4 @@ __pycache__/
 *.pyc
 .env
 consultations.db
+data/

Dockerfile

@@ -0,0 +1,28 @@
+# Python 3.12 slim
+FROM python:3.12-slim
+
+ENV PYTHONDONTWRITEBYTECODE=1 \
+    PYTHONUNBUFFERED=1
+
+WORKDIR /app
+
+# Сначала зависимости — чтобы кэшировать слой
+COPY requirements.txt .
+RUN pip install --no-cache-dir -r requirements.txt
+
+# Код приложения
+COPY . .
+
+# Не dev-режим по умолчанию
+ENV FLASK_DEBUG=0
+
+# Не запускать от имени root
+RUN useradd --create-home --uid 10001 appuser \
+    && mkdir -p /app/data \
+    && chown -R appuser:appuser /app
+USER appuser
+
+EXPOSE 5000
+
+# Production: gunicorn вместо dev-сервера Werkzeug
+CMD ["gunicorn", "--bind", "0.0.0.0:5000", "--workers", "2", "--timeout", "60", "app:app"]

README.md

@@ -1,6 +1,6 @@
 # Анастасия Панкратенкова
 
-> Персональный сайт преподавателя математики и физики с записью на консультацию по подготовке к ОГЭ и ЕГЭ.
+> Персональный сайт преподавателя математики с записью на консультацию по подготовке к ОГЭ и ЕГЭ.
 
 ![Статус проекта](https://img.shields.io/badge/status-MVP-e77862?style=flat-square)
 ![Python](https://img.shields.io/badge/Python-3.10%2B-10211d?style=flat-square&logo=python&logoColor=white)
@@ -9,12 +9,12 @@
 
 ## О проекте
 
-Сайт-визитка для Анастасии Викторовны Панкратенковой — преподавателя математики и физики.
+Сайт-визитка для Анастасии Викторовны Панкратенковой — преподавателя математики.
 
 На сайте можно:
 
 - познакомиться с преподавателем, образованием и опытом;
-- узнать о подготовке по математике и физике;
+- узнать о подготовке по математике;
 - понять, как проходят занятия;
 - оставить заявку на консультацию;
 - выбрать предмет, экзамен и формат занятий.

app.py

@@ -8,11 +8,14 @@ from hmac import compare_digest
 from pathlib import Path
 
 from flask import Flask, flash, make_response, redirect, render_template, request, session, url_for
+from flask_limiter import Limiter
+from flask_limiter.util import get_remote_address
+from flask_wtf import CSRFProtect
 
 
 BASE_DIR = Path(__file__).resolve().parent
-DATABASE_PATH = BASE_DIR / "consultations.db"
+DATABASE_PATH = BASE_DIR / "data" / "consultations.db"
-SUBJECTS = {"math": "Математика", "physics": "Физика"}
+SUBJECTS = {"math": "Математика"}
 EXAMS = {"oge": "ОГЭ", "ege": "ЕГЭ", "other": "Пока не определились"}
 FORMATS = {"online": "Онлайн", "offline": "Очно", "other": "Пока не определились"}
 PREFERRED_TIMES = {
@@ -29,12 +32,43 @@ REQUEST_STATUSES = {
 }
 
 app = Flask(__name__)
-app.config["SECRET_KEY"] = os.getenv("SECRET_KEY", "change-this-secret-key")
+app.config["SECRET_KEY"] = os.environ.get("SECRET_KEY")
+if not app.config["SECRET_KEY"]:
+    raise RuntimeError("SECRET_KEY не задан. Установите переменную окружения SECRET_KEY.")
 app.config["SESSION_COOKIE_HTTPONLY"] = True
 app.config["SESSION_COOKIE_SAMESITE"] = "Lax"
+# Secure-куки по умолчанию включены (сайт работает только по HTTPS)
+app.config["SESSION_COOKIE_SECURE"] = os.environ.get("COOKIE_SECURE", "1") == "1"
+app.config["PERMANENT_SESSION_LIFETIME"] = 60 * 60 * 12  # 12 часов
+app.config["MAX_CONTENT_LENGTH"] = 64 * 1024  # 64 КБ — защита от гигантских POST
+
+csrf = CSRFProtect(app)
+
+limiter = Limiter(
+    get_remote_address,
+    app=app,
+    default_limits=["200 per hour"],
+    storage_uri="memory://",
+)
+
+
+@app.after_request
+def set_security_headers(response):
+    """Базовые защитные HTTP-заголовки."""
+    response.headers.setdefault("X-Content-Type-Options", "nosniff")
+    response.headers.setdefault("X-Frame-Options", "DENY")
+    response.headers.setdefault("Referrer-Policy", "strict-origin-when-cross-origin")
+    response.headers.setdefault("Permissions-Policy", "camera=(), microphone=(), geolocation=()")
+    response.headers.setdefault(
+        "Content-Security-Policy",
+        "default-src 'self'; img-src 'self' data:; style-src 'self'; script-src 'self'; "
+        "font-src 'self' data:; frame-ancestors 'none'; base-uri 'self'; form-action 'self'",
+    )
+    return response
 
 
 def get_connection():
+    DATABASE_PATH.parent.mkdir(parents=True, exist_ok=True)
     connection = sqlite3.connect(DATABASE_PATH)
     connection.row_factory = sqlite3.Row
     return connection
@@ -88,6 +122,7 @@ def index():
 
 
 @app.post("/submit")
+@limiter.limit("10 per minute")
 def submit_request():
     name = request.form.get("name", "").strip()
     contact = request.form.get("contact", "").strip()
@@ -96,6 +131,11 @@ def submit_request():
     format_key = request.form.get("format", "").strip()
     preferred_time_key = request.form.get("preferred_time", "").strip()
     message = request.form.get("message", "").strip()[:2000]
+    consent = request.form.get("consent", "").strip()
+
+    if consent != "on":
+        flash("Необходимо согласие на обработку персональных данных.", "error")
+        return redirect(url_for("index") + "#contact")
 
     if (
         not name
@@ -139,6 +179,11 @@ def success():
     return render_template("success.html", name=request.args.get("name", ""))
 
 
+@app.get("/privacy")
+def privacy_policy():
+    return render_template("privacy.html")
+
+
 def admin_required(view):
     @wraps(view)
     def wrapped_view(*args, **kwargs):
@@ -172,8 +217,12 @@ def build_request_query(filters):
         conditions.append("subject = ?")
         parameters.append(filters["subject"])
     if filters["q"]:
-        conditions.append("(name LIKE ? OR contact LIKE ? OR message LIKE ? OR admin_note LIKE ?)")
+        escaped = filters["q"].replace("%", "\\%").replace("_", "\\_")
-        search_pattern = f"%{filters['q']}%"
+        search_pattern = f"%{escaped}%"
+        conditions.append(
+            "(name LIKE ? ESCAPE '\\' OR contact LIKE ? ESCAPE '\\' "
+            "OR message LIKE ? ESCAPE '\\' OR admin_note LIKE ? ESCAPE '\\')"
+        )
         parameters.extend([search_pattern] * 4)
 
     where_clause = f"WHERE {' AND '.join(conditions)}" if conditions else ""
@@ -210,20 +259,39 @@ def fetch_stats(connection):
 
 
 @app.route("/admin/login", methods=["GET", "POST"])
+@limiter.limit("5 per minute")
 def admin_login():
     if session.get("is_admin"):
         return redirect(url_for("admin_dashboard"))
 
+    # анти-брутфорс: 5 неудачных попыток -> блокировка на 15 минут
+    failed = session.get("login_failed", 0)
+    locked_until = session.get("login_locked_until", 0)
+    now = datetime.now().timestamp()
+    if locked_until and now < locked_until:
+        remaining = int(locked_until - now)
+        flash(f"Слишком много попыток входа. Подождите {remaining // 60 + 1} мин.", "error")
+        return render_template("admin_login.html")
+
     if request.method == "POST":
         password = request.form.get("password", "")
-        admin_password = os.getenv("ADMIN_PASSWORD", "admin123")
+        admin_password = os.environ.get("ADMIN_PASSWORD")
+        if not admin_password:
+            raise RuntimeError("ADMIN_PASSWORD не задан. Установите переменную окружения.")
 
         if compare_digest(password, admin_password):
             session.clear()
             session["is_admin"] = True
             return redirect(url_for("admin_dashboard"))
 
-        flash("Неверный пароль.", "error")
+        failed += 1
+        if failed >= 5:
+            session["login_locked_until"] = now + 15 * 60
+            session["login_failed"] = 0
+            flash("Слишком много попыток входа. Вход заблокирован на 15 минут.", "error")
+        else:
+            session["login_failed"] = failed
+            flash(f"Неверный пароль. Осталось попыток: {5 - failed}.", "error")
 
     return render_template("admin_login.html")
 
@@ -288,6 +356,13 @@ def admin_delete_request(request_id):
     return redirect(url_for("admin_dashboard"))
 
 
+def csv_safe(value):
+    """Защита от CSV-инъекции: значения с формулами экранируются апострофом."""
+    if value and value[0] in ("=", "+", "-", "@", "\t", "\r"):
+        return "'" + value
+    return value
+
+
 @app.get("/admin/export.csv")
 @admin_required
 def admin_export():
@@ -317,15 +392,15 @@ def admin_export():
         writer.writerow(
             [
                 consultation["id"],
-                consultation["name"],
+                csv_safe(consultation["name"]),
-                consultation["contact"],
+                csv_safe(consultation["contact"]),
                 consultation["subject"],
                 consultation["exam"],
                 consultation["format"],
                 consultation["preferred_time"],
                 REQUEST_STATUSES.get(consultation["status"], consultation["status"]),
-                consultation["message"] or "",
+                csv_safe(consultation["message"] or ""),
-                consultation["admin_note"] or "",
+                csv_safe(consultation["admin_note"] or ""),
                 consultation["created_at"],
                 consultation["updated_at"] or "",
             ]
@@ -349,4 +424,8 @@ init_database()
 
 
 if __name__ == "__main__":
-    app.run(debug=True)
+    app.run(
+        host="0.0.0.0",
+        port=5000,
+        debug=os.environ.get("FLASK_DEBUG") == "1",
+    )

docker-compose.yml

@@ -0,0 +1,15 @@
+# Секреты — только из .env (см. .env.example)
+services:
+  web:
+    build: .
+    ports:
+      - "5000:5000"
+    env_file:
+      - .env
+    volumes:
+      # БД с заявками (ПДн) — на постоянном volume, не теряется при rebuild
+      - sqlite_data:/app/data
+    restart: unless-stopped
+
+volumes:
+  sqlite_data:

requirements.txt

@@ -1 +1,4 @@
 Flask>=3.0,<4.0
+Flask-WTF>=1.2,<2.0
+Flask-Limiter>=3.5,<4.0
+gunicorn>=22.0,<24.0

static/css/styles.css

@@ -567,17 +567,41 @@ h2 em {
 
 .subject-cards {
     display: grid;
+    grid-column: 2;
     grid-template-columns: repeat(2, 1fr);
-    gap: 18px;
+    gap: 24px;
     margin-top: 48px;
 }
 
 .subject-card {
+    position: relative;
     display: flex;
-    min-height: 390px;
+    min-height: 400px;
     flex-direction: column;
     justify-content: space-between;
-    padding: 26px 28px 24px;
+    padding: 34px 32px 30px;
+    border-radius: 20px;
+    overflow: hidden;
+    transition: transform 180ms ease, box-shadow 180ms ease;
+}
+
+.subject-card::before {
+    content: "";
+    position: absolute;
+    inset: 0 0 auto;
+    height: 3px;
+    background: var(--coral);
+    opacity: 0;
+    transition: opacity 180ms ease;
+}
+
+.subject-card:hover {
+    transform: translateY(-5px);
+    box-shadow: 0 22px 44px -22px rgba(16, 33, 29, 0.35);
+}
+
+.subject-card:hover::before {
+    opacity: 1;
 }
 
 .subject-card-dark {
@@ -590,20 +614,35 @@ h2 em {
     background: var(--sage);
 }
 
+.subject-card-accent:hover {
+    box-shadow: 0 22px 44px -22px rgba(16, 33, 29, 0.4);
+}
+
 .card-top {
     display: flex;
-    align-items: start;
+    align-items: center;
     justify-content: space-between;
 }
 
 .card-icon {
     display: grid;
-    width: 45px;
+    width: 52px;
-    height: 45px;
+    height: 52px;
+    flex: 0 0 auto;
     place-items: center;
-    border: 1px solid currentColor;
     border-radius: 50%;
-    font: 20px var(--serif);
+    font: 26px var(--serif);
+    font-weight: 600;
+}
+
+.subject-card-dark .card-icon {
+    color: var(--ink);
+    background: var(--sage-deep);
+}
+
+.subject-card-accent .card-icon {
+    color: var(--white);
+    background: var(--coral);
 }
 
 .subject-card .card-number {
@@ -614,11 +653,17 @@ h2 em {
     color: var(--coral);
 }
 
+.card-body {
+    margin: 28px 0 30px;
+}
+
 .card-kicker {
-    margin-bottom: 10px;
+    margin-bottom: 12px;
     color: var(--coral-soft);
-    font-size: 9px;
+    font-size: 10px;
-    letter-spacing: 0.11em;
+    font-weight: 800;
+    letter-spacing: 0.14em;
+    text-transform: uppercase;
 }
 
 .subject-card-accent .card-kicker {
@@ -627,27 +672,65 @@ h2 em {
 
 .subject-card h3 {
     margin-bottom: 16px;
-    font: 500 clamp(36px, 4vw, 52px)/1 var(--serif);
+    font: 500 clamp(34px, 3.4vw, 46px)/1.05 var(--serif);
-    letter-spacing: -0.05em;
+    letter-spacing: -0.04em;
 }
 
 .card-description {
     max-width: 340px;
     margin-bottom: 0;
-    color: rgba(255, 255, 255, 0.63);
+    color: rgba(255, 255, 255, 0.66);
-    font-size: 12px;
+    font-size: 13px;
-    line-height: 1.7;
+    line-height: 1.75;
 }
 
 .subject-card-accent .card-description {
-    color: rgba(16, 33, 29, 0.65);
+    color: rgba(16, 33, 29, 0.68);
 }
 
 .card-link {
-    font-size: 11px;
+    display: inline-flex;
+    align-items: center;
+    justify-content: space-between;
+    gap: 12px;
+    padding-top: 22px;
+    border-top: 1px solid rgba(255, 255, 255, 0.14);
+    font-size: 12px;
     font-weight: 800;
 }
 
+.subject-card-accent .card-link {
+    border-top-color: rgba(16, 33, 29, 0.16);
+}
+
+.card-link span {
+    display: grid;
+    width: 36px;
+    height: 36px;
+    margin-left: 0;
+    place-items: center;
+    border: 1px solid currentColor;
+    border-radius: 50%;
+    font-size: 15px;
+    transition: transform 180ms ease, background-color 180ms ease;
+}
+
+.card-link:hover span {
+    transform: translateX(4px);
+}
+
+.subject-card-dark .card-link:hover span {
+    background: var(--coral);
+    border-color: var(--coral);
+    color: var(--white);
+}
+
+.subject-card-accent .card-link:hover span {
+    background: var(--ink);
+    border-color: var(--ink);
+    color: var(--white);
+}
+
 .process {
     padding-bottom: 12px;
 }
@@ -1494,11 +1577,13 @@ textarea {
     }
 
     .subject-cards {
+        grid-column: 1;
         margin-top: 32px;
     }
 
     .subject-card {
-        min-height: 330px;
+        min-height: 360px;
+        padding: 30px 26px 26px;
     }
 
     .process-list {

templates/admin.html

@@ -81,6 +81,7 @@
                             {% if consultation["message"] %}<p class="request-message"><span>Комментарий</span>{{ consultation["message"] }}</p>{% endif %}
                             <div class="request-actions">
                                 <form class="request-status-form" action="{{ url_for('admin_update_status', request_id=consultation["id"]) }}" method="post">
+                                    <input type="hidden" name="csrf_token" value="{{ csrf_token() }}">
                                     <label for="status-{{ consultation["id"] }}">Статус</label>
                                     <select id="status-{{ consultation["id"] }}" name="status">{% for status_key, status_label in statuses.items() %}<option value="{{ status_key }}" {% if consultation["status"] == status_key %}selected{% endif %}>{{ status_label }}</option>{% endfor %}</select>
                                     <button class="mini-button" type="submit">Сохранить</button>
@@ -88,11 +89,13 @@
                                 <details class="request-note" {% if consultation["admin_note"] %}open{% endif %}>
                                     <summary>{% if consultation["admin_note"] %}Изменить заметку{% else %}Добавить заметку{% endif %} <span>＋</span></summary>
                                     <form action="{{ url_for('admin_update_note', request_id=consultation["id"]) }}" method="post">
+                                    <input type="hidden" name="csrf_token" value="{{ csrf_token() }}">
                                         <textarea name="admin_note" rows="2" maxlength="2000" placeholder="Например: перезвонить вечером...">{{ consultation["admin_note"] }}</textarea>
                                         <button class="mini-button" type="submit">Сохранить заметку</button>
                                     </form>
                                 </details>
                                 <form class="request-delete-form" action="{{ url_for('admin_delete_request', request_id=consultation["id"]) }}" method="post" data-confirm="Удалить эту заявку? Восстановить её будет нельзя.">
+                                    <input type="hidden" name="csrf_token" value="{{ csrf_token() }}">
                                     <button class="delete-button" type="submit">Удалить</button>
                                 </form>
                             </div>

templates/admin_login.html

@@ -25,6 +25,7 @@
             {% endif %}
         {% endwith %}
         <form action="{{ url_for('admin_login') }}" method="post" class="admin-login-form">
+            <input type="hidden" name="csrf_token" value="{{ csrf_token() }}">
             <label for="password">Пароль администратора</label>
             <input id="password" type="password" name="password" placeholder="Введите пароль" autocomplete="current-password" required autofocus>
             <button class="button button-primary form-button" type="submit">Войти в панель <span>↗</span></button>

templates/index.html

@@ -3,8 +3,8 @@
 <head>
     <meta charset="UTF-8">
     <meta name="viewport" content="width=device-width, initial-scale=1.0">
-    <meta name="description" content="Подготовка к ОГЭ и ЕГЭ по математике и физике с Анастасией Панкратенковой.">
+    <meta name="description" content="Подготовка к ОГЭ и ЕГЭ по математике с Анастасией Панкратенковой.">
-    <title>Анастасия Панкратенкова — математика и физика</title>
+    <title>Анастасия Панкратенкова — математика</title>
     <link rel="stylesheet" href="{{ url_for('static', filename='css/styles.css') }}">
 </head>
 <body>
@@ -25,9 +25,9 @@
         <main id="top">
             <section class="hero section-wrap">
                 <div class="hero-copy">
-                    <p class="eyebrow"><span class="eyebrow-dot"></span> Математика · физика · подготовка к экзаменам</p>
+                    <p class="eyebrow"><span class="eyebrow-dot"></span> Математика · подготовка к экзаменам</p>
                     <h1>Понимать, решать, <em>быть уверенным.</em></h1>
-                    <p class="hero-lead">Помогаю школьникам увидеть логику точных наук и спокойно прийти к нужному результату на ОГЭ и ЕГЭ.</p>
+                    <p class="hero-lead">Помогаю школьникам увидеть логику математики и спокойно прийти к нужному результату на ОГЭ и ЕГЭ.</p>
                     <div class="hero-actions">
                         <a class="button button-primary" href="#contact">Записаться на консультацию <span>↗</span></a>
                         <a class="text-link" href="#about">Познакомиться <span>↓</span></a>
@@ -48,13 +48,13 @@
                     <div class="floating-note note-top"><span>∑</span><strong>Разбираем<br>до ясности</strong></div>
                     <div class="floating-note note-bottom"><strong>2</strong><span>красных<br>диплома</span></div>
                     <div class="math-scribble scribble-one">y = kx + b</div>
-                    <div class="math-scribble scribble-two">F = ma</div>
+                    <div class="math-scribble scribble-two">a² + b² = c²</div>
                 </div>
             </section>
 
             <section class="ticker" aria-label="Ключевые направления">
                 <div class="ticker-track">
-                    <span>Математика</span><i>✦</i><span>Физика</span><i>✦</i><span>ОГЭ</span><i>✦</i><span>ЕГЭ</span><i>✦</i><span>Математика</span><i>✦</i><span>Физика</span>
+                    <span>Математика</span><i>✦</i><span>ОГЭ</span><i>✦</i><span>ЕГЭ</span><i>✦</i><span>Математика</span><i>✦</i><span>ОГЭ</span><i>✦</i><span>ЕГЭ</span>
                 </div>
             </section>
 
@@ -62,10 +62,10 @@
                 <div class="section-label"><span>01</span><span>О преподавателе</span></div>
                 <div class="about-content">
                     <div class="section-heading-row">
-                        <h2>Точные науки<br><em>могут быть понятными.</em></h2>
+                        <h2>Математика<br><em>может быть понятной.</em></h2>
                         <span class="round-arrow">↘</span>
                     </div>
-                    <p class="section-intro">Я — Анастасия Викторовна, преподаватель математики и физики. На занятиях мы не заучиваем решения, а разбираемся, как всё устроено — шаг за шагом и в удобном для ученика темпе.</p>
+                    <p class="section-intro">Я — Анастасия Викторовна, преподаватель математики. На занятиях мы не заучиваем решения, а разбираемся, как всё устроено — шаг за шагом и в удобном для ученика темпе.</p>
                     <div class="about-details">
                         <div class="detail-item"><span class="detail-number">01</span><p><strong>Образование</strong>АГУ, бакалавриат «Математика» и магистратура «Математическое образование».</p></div>
                         <div class="detail-item"><span class="detail-number">02</span><p><strong>Результат</strong>Обе ступени образования окончены с красным дипломом.</p></div>
@@ -82,13 +82,27 @@
                 </div>
                 <div class="subject-cards">
                     <article class="subject-card subject-card-dark">
-                        <div class="card-top"><span class="card-number">01</span><span class="card-icon">∑</span></div>
+                        <div class="card-top">
-                        <div><p class="card-kicker">Подготовка</p><h3>Математика</h3><p class="card-description">От уверенной базы до сложных задач второй части. Разбираем теорию, практику и стратегию экзамена.</p></div>
+                            <span class="card-number">01</span>
+                            <span class="card-icon">∑</span>
+                        </div>
+                        <div class="card-body">
+                            <p class="card-kicker">Подготовка</p>
+                            <h3>Математика</h3>
+                            <p class="card-description">От уверенной базы до сложных задач второй части. Разбираем теорию, практику и стратегию экзамена.</p>
+                        </div>
                         <a href="#contact" class="card-link">Обсудить подготовку <span>↗</span></a>
                     </article>
                     <article class="subject-card subject-card-accent">
-                        <div class="card-top"><span class="card-number">02</span><span class="card-icon">F</span></div>
+                        <div class="card-top">
-                        <div><p class="card-kicker">Подготовка</p><h3>Физика</h3><p class="card-description">Учимся видеть физику за формулами: решаем задачи, выстраиваем связи и готовимся к нужному баллу.</p></div>
+                            <span class="card-number">02</span>
+                            <span class="card-icon">√</span>
+                        </div>
+                        <div class="card-body">
+                            <p class="card-kicker">Подготовка</p>
+                            <h3>ОГЭ и ЕГЭ</h3>
+                            <p class="card-description">Готовимся к экзаменам по математике: разбираем структуру, тренируемся на реальных заданиях и отрабатываем стратегию набора баллов.</p>
+                        </div>
                         <a href="#contact" class="card-link">Обсудить подготовку <span>↗</span></a>
                     </article>
                 </div>
@@ -132,12 +146,13 @@
                         {% endif %}
                     {% endwith %}
                     <form action="{{ url_for('submit_request') }}" method="post">
+                        <input type="hidden" name="csrf_token" value="{{ csrf_token() }}">
                         <div class="form-row">
                             <label>Ваше имя <span>*</span><input type="text" name="name" placeholder="Например, Мария" required></label>
                             <label>Как связаться <span>*</span><input type="text" name="contact" placeholder="Телефон или Telegram" required></label>
                         </div>
                         <div class="form-row">
-                            <label>Предмет <span>*</span><select name="subject" required><option value="" disabled selected>Выберите предмет</option><option value="math">Математика</option><option value="physics">Физика</option></select></label>
+                            <label>Предмет <span>*</span><select name="subject" required><option value="" disabled selected>Выберите предмет</option><option value="math">Математика</option></select></label>
                             <label>Экзамен <span>*</span><select name="exam" required><option value="" disabled selected>Выберите экзамен</option><option value="oge">ОГЭ</option><option value="ege">ЕГЭ</option><option value="other">Пока не определились</option></select></label>
                         </div>
                         <div class="form-row form-row-wide">
@@ -145,6 +160,7 @@
                         </div>
                         <fieldset class="format-field"><legend>Формат занятий <span>*</span></legend><div class="radio-options"><label><input type="radio" name="format" value="online" required><span>Онлайн</span></label><label><input type="radio" name="format" value="offline"><span>Очно</span></label><label><input type="radio" name="format" value="other"><span>Не знаю</span></label></div></fieldset>
                         <label>Комментарий <span class="optional">необязательно</span><textarea name="message" rows="3" placeholder="Расскажите, какая цель у занятий..."></textarea></label>
+                        <label class="consent-label"><input type="checkbox" name="consent" value="on" required> <span>Я согласен на обработку персональных данных в соответствии с <a href="{{ url_for('privacy_policy') }}">политикой конфиденциальности</a>. <b>*</b></span></label>
                         <button class="button button-primary form-button" type="submit">Отправить заявку <span>↗</span></button>
                         <p class="form-note">Нажимая кнопку, вы соглашаетесь на обработку персональных данных.</p>
                     </form>
@@ -154,7 +170,7 @@
 
         <footer class="site-footer section-wrap">
             <a class="brand" href="#top"><span class="brand-mark">АП</span><span class="brand-name">Анастасия<br>Панкратенкова</span></a>
-            <p>Математика и физика<br>с пониманием.</p>
+            <p>Математика<br>с пониманием.</p>
             <span>© {{ current_year }}</span>
         </footer>
     </div>

templates/privacy.html

@@ -0,0 +1,51 @@
+<!doctype html>
+<html lang="ru">
+<head>
+    <meta charset="UTF-8">
+    <meta name="viewport" content="width=device-width, initial-scale=1.0">
+    <meta name="description" content="Политика конфиденциальности — Анастасия Панкратенкова, математика.">
+    <title>Политика конфиденциальности — Анастасия Панкратенкова</title>
+    <link rel="stylesheet" href="{{ url_for('static', filename='css/styles.css') }}">
+</head>
+<body>
+    <div class="page-shell">
+        <header class="site-header">
+            <a class="brand" href="{{ url_for('index') }}" aria-label="На главную">
+                <span class="brand-mark">АП</span>
+                <span class="brand-name">Анастасия<br>Панкратенкова</span>
+            </a>
+            <nav class="main-nav" aria-label="Основная навигация">
+                <a href="{{ url_for('index') }}#about">О преподавателе</a>
+                <a href="{{ url_for('index') }}#subjects">Направления</a>
+                <a href="{{ url_for('index') }}#contact">Записаться</a>
+            </nav>
+        </header>
+
+        <main class="privacy-content" style="max-width: 820px; margin: 0 auto; padding: 64px 24px 96px;">
+            <p class="eyebrow"><span class="eyebrow-dot"></span> Юридическая информация</p>
+            <h1>Политика<br><em>конфиденциальности</em></h1>
+            <p class="privacy-lead">Этот сайт использует персональные данные только для обработки заявок на консультации.</p>
+
+            <h2>Какие данные собираются</h2>
+            <p>При заполнении формы могут быть указаны имя, контакт (телефон или Telegram), предмет, экзамен, формат занятий, желаемое время и комментарий к заявке.</p>
+
+            <h2>Зачем они нужны</h2>
+            <p>Данные используются исключительно для связи с заявителем, ответа на вопросы и подготовки к занятиям.</p>
+
+            <h2>Хранение и защита</h2>
+            <p>Заявки хранятся в защищённой базе данных. Доступ к ним имеет только преподаватель. Данные не передаются третьим лицам и не используются для рекламных рассылок.</p>
+
+            <h2>Отзыв согласия</h2>
+            <p>Чтобы уточнить, изменить или удалить сведения из заявки, свяжитесь с преподавателем тем же способом, который был указан при записи.</p>
+
+            <a class="button button-primary" href="{{ url_for('index') }}#contact" style="margin-top: 32px;">Вернуться к записи <span>↗</span></a>
+        </main>
+
+        <footer class="site-footer section-wrap">
+            <a class="brand" href="{{ url_for('index') }}"><span class="brand-mark">АП</span><span class="brand-name">Анастасия<br>Панкратенкова</span></a>
+            <p>Математика<br>с пониманием.</p>
+            <span>© {{ current_year }}</span>
+        </footer>
+    </div>
+</body>
+</html>