# Route naar gebruik tijdens schooltoetsen

Toetsgebruik is het doel van dit product. De browsercontrole is geïmplementeerd en met gesimuleerde SEB-verzoeken getest. **Een werkelijke afgeschermde afname is nog niet aangetoond:** er is geen beheerd Windows-testapparaat beschikbaar. De huidige vrijgave blijft daarom oefenen en onbecijferde proeven.

## Wat de koppeling controleert

Vlak ondersteunt het HTTP-headerprotocol van Safe Exam Browser voor Windows. School-ICT neemt de Browser Exam Key over uit de opgeslagen schoolconfiguratie. De server vergelijkt bij starten, rekenen, statuscontact en hervatten de SHA-256 van de volledige aangevraagde URL plus die sleutel met de SEB-requestheader. Een browsernaam of fullscreen telt niet mee. De sleutel blijft op de server; de leerlinginterface ontvangt hem niet. [Officiële BEK-specificatie](https://safeexambrowser.org/developer/documents/SEB-Specification-BrowserExamKey.pdf).

Een SEB-sessie wordt niet in een gewone browser gestart. Bij ontbrekende of gewijzigde browsercontrole onderbreekt Vlak de sessie en behoudt het werk. Docentvrijgave heft de SEB-eis niet op. De sessie legt ook vast welke sleutelset geldt: na een wijziging daarvan kan de bestaande sessie niet stilzwijgend doorgaan. De server blijft apparaatattestatie als ontbrekend rapporteren.

Een passende BEK is bewijs over de ingestelde browser, geen bewijs dat een privéapparaat vrij is van malware, beheerrechten of een tweede gebruiker. Diefstal van sleutel/cookie, een gekloonde identieke cliënt en manipulatie door een lokale beheerder zijn niet opgelost. Voor beoordeelde toetsen is de concrete combinatie van schoolbeheer, SEB, netwerk en toezicht te beoordelen.

## School-ICT: concrete inrichtingsroute

1. Kies een beheerde Windows-laptop zonder leerlingbeheerrechten. Installeer een actuele, door ICT beoordeelde SEB-versie. Deze implementatie gebruikt Windows-HTTP-headers; macOS/iOS via de SEB-JavaScript-API en ChromeOS-kiosk zijn niet geïmplementeerd.
2. Leg een vaste Vlak-release op een publiek HTTPS-adres vast, zonder Vercel-login voor leerlingen. Bevries automatische deployments; de unieke deployment-URL is in de huidige Vercel-inrichting afgeschermd voor beheerders. Zie VERCEL.md. Kies het publieke adres als SEB-startadres; laat alleen leerlingpagina, rekenbestanden, serviceworker, releasebestand en `/api/session/` toe. Blokkeer docentpagina, documentatie en andere hosts in de SEB-URL-filter. Test de benodigde achtergrondaanvragen.
3. Stel SEB in voor een afname: verplicht actieve SEB-service, geblokkeerde andere apps en ontwikkelhulpmiddelen, geen bestanden uploaden/downloaden, geen extern klembord, geen vrij instelbare browsernavigatie of zelf beëindigen. Bewaar een uitsluitend bij surveillanten bekend quit-/beheerwachtwoord. Maak benodigde toegankelijkheid vooraf passend. Controleer de instellingen in de [Windows-handleiding](https://safeexambrowser.org/windows/win_usermanual_en.html).
4. Sla de configuratie voor het starten van een examen versleuteld op. Zet **Use Browser & Config Keys (send in HTTP header)** aan. Kopieer na opslaan de Browser Exam Key uit de gebruikte SEB-versie naar de geheime serverinstelling `SEB_BROWSER_EXAM_KEYS`. Bij meerdere daadwerkelijk beoordeelde Windows-builds mogen maximaal acht sleutels, gescheiden door komma's, worden ingesteld. Sleutels verschillen per configuratie en build; controleer opnieuw na wijzigingen. [SEB-integratiehandleiding](https://safeexambrowser.org/developer/seb-integration.html).
5. Kies in de docentomgeving **Safe Exam Browser vereist**. Deze optie blijft geblokkeerd zolang de server geen sleutel heeft. Maak eerst één proefwerkplek met beperkte functies. De oefenlink gebruikt hetzelfde rekenprofiel.
6. Laat een leerling met de SEB-schoolconfiguratie de eenmalige code gebruiken. Controleer op het eigen docentscherm: juiste werkplek, profiel, versie, actuele SEB-browsercontrole en verbinding. Controleer het apparaat daarnaast via schoolbeheer en fysiek toezicht.

Er wordt bewust geen willekeurige Browser Exam Key gegenereerd en als echte schoolconfiguratie meegeleverd. Alleen de gebruikte SEB-installatie kan de passende sleutel leveren. Een nog niet praktisch geteste configuratie mag geen beveiligingsbewijs worden.

## Vereiste demonstratie vóór beoordeeld gebruik

Leg datum, apparaat, OS/SEB-build, configuratiecontrole­som en Vlak-release vast. Test op het apparaat: andere websites/apps, AI, lokale bestanden, klembord, ontwikkeltools, sneltoetsen, tweede gebruiker, slaapstand, reboot, stroom/netwerkverlies en toegankelijkheid. Start met oude oefengegevens en controleer dat de nieuwe sessie leeg is. Probeer codehergebruik en gekopieerde sessiegegevens vanaf een tweede apparaat. Test docentherstel en behoud van werk.

De server mag zonder geldige SEB-header geen actieve SEB-sessie voortzetten. Ook bij een geldige header moet een onafhankelijke deskundige beoordelen of apparaatbeleid en herstelketen voldoende zijn. Lokale offlineopdrachten zijn nog geen vertrouwd bewijs van hun herkomst. Bij verlies van controle beslist de docent; een storing is geen fraudeconclusie. Gebruik tot afronding een onbecijferde proef. Het afnameprotocol bevat reserves en terugval.

SEB verleent geen toestemming voor centrale examens. Voor een schooltoets beslist de school over didactische toelaatbaarheid en een aantoonbaar passende opstelling; voor centrale examens gelden afzonderlijke landelijke regels.