Centralna Tożsamość Cyfrowa (TC) i SSO

TC to centralne konto Fundacji – jedno hasło do wszystkich systemów. Zamiast pamiętać 10 różnych haseł (Gmail, panel, Canva, Office, Adobe, Drive, itd.), macie jedno konto TC + jedno hasło.

Jak działa w praktyce:

• Wchodziście na stronę Gmail (link będzie podany)
• System pyta o login/hasło TC
• Wpisujesz hasło TC + kod SMS
• Gmail się otwiera – zalogowani bez dodatkowego hasła
• Klikniecie na Canva → automatycznie zalogowani (bez hasła!)
• SSO token jest aktywny – możecie przechodzić między apkami bez ponownego logowania

Porównanie: Gmail pozwala logować się do YouTube, Drive, Docs tym samym hasłem. TC to dokładnie to samo dla Fundacji.

Dwa główne powody:

Powód 1 – Bezpieczeństwo: Hasło Gmail wymaga 8-12 znaków (standard Google). TC wymaga 16+ znaków – to standard PCI-DSS (jak banki). Mocniejsze hasło = bezpieczniej.

Powód 2 – RODO i bezpieczeństwo systemów: Nie możemy przenieść haseł między systemami – to narusza Art. 32 RODO (bezpieczeństwo). Każdy system musi mieć swoje hasło, wygenerowane niezależnie.

Szczęście: Robisz hasło raz – przy aktywacji TC. Potem używasz go wszędzie (dzięki SSO nie musisz pamiętać haseł do Canvy, Office itp.).

Wymagania (każdy punkt KONIECZNY):

• ✓ Minimum 16 znaków (nie 8, nie 12 – tekst musi być na 16+)
• ✓ 1+ Wielka litera (A, B, C, ..., Z)
• ✓ 1+ Mała litera (a, b, c, ..., z)
• ✓ 1+ Cyfra (0, 1, 2, ..., 9)
• ✓ 1+ Znak specjalny (!@#$%^&*()_+-=[]{})
• ✓ Bez powtórek z waszych starych haseł (Gmail, Outlook)
• ✓ Bez sekwencji klawiatury (qwerty, asdf, 123456)

DOBRE PRZYKŁADY (pass!):

• WolontariatFEER2026!Bezpieczne (22 znaki – doskonale)
• JanKowalski-FEER#2025Projekt! (28 znaków – idealnie)
• Fundacja_Edukacja123!456xyzABC (30 znaków – maksimum)
• MyPassword@FEER2026Education! (32 znaki – super)

ŹLE PRZYKŁADY (fail!):

• haslo123 (9 znaków – za krótkie)
• Haslo1234 (10 znaków – brak znaku specjalnego)
• qwerty123456 (sekwencja klawiatury)
• Mojehaslo! (11 znaków – zbyt krótkie)

Gdzie zapisać: Bitwarden, 1Password, LastPass – bezpieczne sejfy haseł. Albo zapisz w notatniku, schowaj w szafie (papier bezpieczniej niż karteczka na monitorze!).

Generator haseł: Jeśli nie wiesz jak wymyślić – użyj generatora: bitwarden.com/password-generator/ (darmowy, bezpieczny).

Musiałeś aktywować TC do końca 30 grudnia. Od 1 stycznia 2026 00:01 wszystko zmienia się:

Co się stanie 1 stycznia 2026 (bez aktywnego TC):

• Gmail FEER: Pokaże błąd "Wymagane logowanie przez TC – konto zablokowane"
• Panel wolontariusza: Kompletnie niedostępny (redirect do TC)
• Canva, Office, Adobe: Wszystkie aplikacje przekierują do TC (bez konta = brak dostępu)
• Niezapisane dokumenty: Jeśli pracowałeś nad plikami w Google Drive – mogą być niedostępne
• Brak możliwości komunikacji: Nie będziesz mogła wysłać maila ani wejść na panel projektów

IT NE BĘDZIE resetować starych kont ani robić wyjątków. Termin jest wiążący prawnie (polityka IT Fundacji, zatwierdzona przez Zarząd).

Co robić jeśli jest 31 grudnia i zapomniałeś? Zadzwoń/napisz Jarek – może być w stanie pomóc w ostatniej chwili, ale bez gwarancji.

PRZYGOTOWANIE (2 minuty przed aktyacją):

• ✓ Pobierz/zaktualizuj Chrome lub Firefox (najnowsza wersja)
• ✓ Wyłącz tymczasowo VPN (może blokować certyfikaty)
• ✓ Wyłącz AdBlock/uBlock Origin na domenach FEER
• ✓ Przygotuj telefon z dobrym zasięgiem (do SMS MFA)
• ✓ Przygotuj menedżer haseł (Bitwarden/1Password)

AKTYWACJA (3-5 minut):

1. Wejdź na link aktywacji (będzie podany na stronie transformacji po 16 grudnia)
2. Wpisz swój adres e-mail @feer.org.pl (ten z pracy w Fundacji, nie prywatny Gmail!)
3. Wygeneruj hasło 16+ znaków (patrz pytanie 3 powyżej)
4. Wybierz metodę MFA:
   • SMS (najprostsze – wyślemy kod na Twój telefon)
   • Google Authenticator (apka na telefon, bardziej bezpieczne)
   • YubiKey (fizyczny klucz, najsafest)
5. Zweryfikuj kod SMS lub apki (wpisujesz 6-cyfrowy kod)
6. Backup codes – BARDZO WAŻNE! System wyświetli 12 kodów 8-cyfrowych. Zapisz je w menedżerze haseł lub na kartce w sejfie. Jeśli stracisz telefon – to są twoje ostatnie ratunki.
7. Gotowe! TC aktywne, możesz się logować.

PO AKTYWACJI:

• Otrzymasz e-mail z linkiem do panelu zarządzania kontem (strona zarządzania TC)
• Tam możesz: zmienić hasło, włączyć/wyłączyć MFA, wylogować się ze wszystkich urządzeń, zobaczyć historię logowań
• Całość zajmuje 3-5 minut, prosty proces

MFA = Multi-Factor Authentication – potwierdzenie tożsamości w DWÓCH sposobami (nie tylko hasłem).

Warstwa 1 (zawsze): Hasło TC (16+ znaków)
Warstwa 2 (opcjonalne, ale REKOMENDUJĘ): SMS / Authenticator / YubiKey

Scenariusz logowania z MFA:

1. Wpisujesz hasło TC
2. System prosi o kod SMS/YubiKey
3. SMS: "Twój kod: 123456" – wpisujesz kod (ważny 60s)
4. Zalogowany!

Dlaczego 3 opcje MFA?

• SMS: Najprostsze, wszystko mają telefon
• Google Authenticator: Bardziej bezpieczne, działa offline, apka na telefon
• YubiKey: Najsafest, fizyczny klucz USB, niemożliwe do zhakowania zdalnie (~150 zł)

Porównanie bezpieczeństwa:

• Bez MFA: Zhakowanie hasła = pełny dostęp do konta
• Z SMS: Zhakowanie hasła = bezużyteczne bez Twojego telefonu
• Z Authenticator: Jeszcze bardziej bezpieczne, apka może być na innym telefonie
• Z YubiKey: Niemal niemożliwe – haker musiałby mieć fizyczny klucz

SMS (rekomendacja dla 90% użytkowników):

• ✓ Najprostsze – kod idzie SMS na telefon
• ✓ Każdy ma telefon
• ✓ Szybkie (30 sekund)
• ✗ Teoret. haker może przechwycić SMS (ultra rzadko)
• Kiedy wybrać: Jeśli nie chcesz instalować apek

Google Authenticator (rekomendacja dla ambitnych):

• ✓ Bardziej bezpieczne niż SMS – nie zależy od operatora
• ✓ Działa offline (apka na telefon)
• ✓ Kod generuje się lokalnie co 30 sekund
• ✗ Musisz zainstalować apkę
• ✗ Jak stracisz telefon – backup codes ratują
• Kiedy wybrać: Jeśli chcesz maximum bezpieczeństwa bez kosztu

YubiKey (rekomendacja dla paranoidów i IT):

• ✓ Niemal niemożliwe do zhakowania (fizyczny klucz USB)
• ✓ Nie trzeba wpisywać kodu – dotknąć klucz
• ✗ Trzeba kupić (~150 zł za sztukę)
• ✗ Jak zagubisz klucz – komplikacja
• Kiedy wybrać: Jeśli pracujesz z danymi wrażliwymi (granty, darczyńcy)

Nasza rekomendacja: Zacznij od SMS (szybko, bezpośrednio). Jeśli będziesz miał wątpliwości → zmień na Authenticator (w panelu zarządzania).

3 metody odzyskania (wybierz najwygodniejszą):

METODA 1 – Online reset (najszybciej, 3 minuty):

1. Wejdź na stronę logowania TC
2. Kliknij "Zapomniałem hasła"
3. Wpisz swój e-mail @feer.org.pl
4. Otwórz e-mail z kodem weryfikacyjnym (patrz inbox + spam)
5. Wpisz kod weryfikacyjny na stronie
6. Wpisz nowe hasło 16+ znaków
7. Zaloguj się – gotowe!

METODA 2 – Backup codes (jeśli e-mail nie działa):

• Straciłeś dostęp do e-maila? Użyj backup codes
• Każdy kod 8-cyfrowy jest jednorazowy – możesz zalogować się raz
• Patrz notatki/sejf – tam powinny być zapisane z aktywacji
• Po zalogowaniu się kodem → zmień hasło normalnie

METODA 3 – Kontakt z IT (ostateczna opcja):

• E-mail: jarek@feer.org.pl
• Temat: "Resetowanie hasła TC"
• IT zrobi forced reset w ciągu 24 godzin
• Będą pytać o tożsamość (dla bezpieczeństwa)

10 kroków rozwiązania (uporzadkowane po skuteczności):

1. Sprawdź folder SPAM/SMS spam/promocje – kody trafiają tam w 20% przypadków. Wyszukaj "FEER" lub "verification".
2. Poczekaj pełne 60 sekund – operatorzy sieciowi mają opóźnienie (Play czasem opóźnia 30-60s)
3. Sprawdź numer telefonu w rejestracji – upewnij się że +48 XXX XXX XXX (bez spacji, z +48)
4. Wyłącz tryb samolotowy – sygnał musi być aktywny
5. Zmień sieć: Wi-Fi ↔ dane mobilne – czasem pomaga
6. Uruchom ponownie telefon – reset sieci komórkowej
7. Wybierz alternatywę: Google Authenticator (App Store/Play) – zamiast SMS, działa offline
8. Użyj backup codes – 12-cyfrowe kody z aktywacji (zapisane gdzieś?)
9. Skontaktuj się z operatorem (Play/Orange) – mogą mieć blokadę antyspam SMS
10. Pisz Jarek@feer.org.pl – support IT – czasowe wsparcie, tymczasowe metody

Statystyka z testów:

• 87% problemów SMS → rozwiązuje krok 1-3
• 10% problemów → rozwiązuje krok 4-6
• 2% problemów → wymaga Authenticator lub Backup codes
• 1% problemów → wymaga kontaktu z IT

Procedura IT (zajmuje 5 minut od zgłoszenia):

1. NATYCHMIAST: Blokada konta – IT wyłącza konto w sekundę (haker nie ma dostępu)
2. Wymuszenie resetu hasła – wpisujesz nowe hasło 16+ znaków
3. Reset MFA – skonfigurowanie nowego SMS/Authenticator
4. Wylogowanie wszystkich sesji – wszystkie zalogowania na starych IP'kach usunięte
5. Audyt logów (30 dni wstecz) – IT sprawdza co robił hacker, z jakich IP, jakimi aplikacjami
6. Powiadomienie UODO (jeśli wymagane) – zgodnie z RODO Art. 33

Porównanie starych czasów vs TC:

• STARE (10 kont): Zhakowanie Gmail → musimy resetować Gmail + Drive. Zhakowanie Canvy → osobny reset. Zhakowanie Office → osobny reset. Komunikacja z 10 dostawcami = chaos.
• TC: Jeden click → wszystkie aplikacje bezpieczne natychmiast

Rekomendacja: Włącz SMS/YubiKey MFA – prawie niemożliwe do zhakowania. Haker musiałby mieć Twój telefon + hasło.

MECHANIKA SSO (Single Sign-On): Logujesz się raz do TC → potem tylko klikasz między systemami (bez ponownego wpisywania hasła).

PRAKTYKA – SCENARIUSZ DNIA:

1. Rano, 8:00 – Logujesz się do TC
   • Wchodzisz na link Gmail FEER (będzie podany na stronie)
   • System przenosi Cię do logowania TC
   • Wpisujesz hasło TC (16+ znaków)
   • Wpisujesz kod SMS/Authenticator (6 cyfr)
   • Otwiera się Gmail – zalogowany
2. 8:15 – Piszesz design w Canvie
   • Klikasz link Canva (nowa karta/okno)
   • BRAK logowania! Canva widzi TC token (jesteś już zalogowany)
   • Wchodzisz od razu na Canva – pracujesz
3. 9:00 – Robisz dokument w Office Online
   • Klikasz link Office (nowa karta)
   • Office automatycznie loguje Cię (TC token jeszcze aktywny)
   • Piszesz raport bez hasła
4. 11:00 – Wracasz do Adobe
   • Adobe też korzysta z TC tokena
   • Designujesz bez dodatkowego logowania
5. 14:00 – Bezczynność 2 godziny (przerwa obiadowa)
   • TC token wygasa automatycznie (logout ze wszystkiego)
   • Chcesz sprawdzić maila → musisz zalogować się znowu (hasło TC + SMS)
   • Po zalogowaniu – znowu masz dostęp wszędzie bez haseł

Timeout = 2 godziny bezczynności (polityka bezpieczeństwa bankowego) – to norma.

Przyczyna: Cache przeglądarki lub cookies zablokowane → TC nie może zapamiętać Twojej sesji.

Rozwiązanie (krok po kroku):

1. Wyczyść cache + cookies:
   • Chrome: Ustawienia → Prywatność → "Wyczyść dane przeglądania" → zaznacz "Cookies" + "Cached images" → "Wyczyść dane"
   • Firefox: Ustawienia → Prywatność → "Wyczyść historię" → zaznacz "Ciasteczka" → "Wyczyść"
2. Zamknij WSZYSTKIE karty/okna z FEER – Complete close
3. Otwórz nową kartę (czystą) – wejdź na stronę logowania TC od nowa
4. Zaloguj się znowu – powinna działać
5. Jeśli dalej problem:
   • Użyj Incognito mode (Ctrl+Shift+N) – zaloguj się tam
   • Wyłącz AdBlock/VPN tymczasowo
   • Spróbuj innej przeglądarki (Firefox zamiast Chrome)

Odpowiedź krótka: TAK, ale CHROME lepszy.

Safari – testowane (95% kompatybilność):

• Działa, ale mogą być problemy z popup SSO (redirect do logowania)
• Problemy z cookies third-party (Safari je blokuje domyślnie)
• Czasem redirect loop (zapętlenie)

Rozwiązania dla Safari:

• 1. Ustawienia iPhone → Safari → Ustawienia prywatności → Blokada popupów: OFF
• 2. Ustawienia iPhone → Safari → Zaawansowane → Cross-site tracking: OFF
• 3. Wyczyść cache Safari: Ustawienia → Safari → "Wyczyść historię i dane stron"

Rekomendacja: Pobierz Chrome z App Store – testowany 100%, żadnych problemów. Safari OK dla zaawansowanych.

Chrome 100% kompatybilność – najlepszy wybór dla TC.

TABLET (Android/iPad): ✓ DZIAŁA

• Chrome: ✓ OK
• Safari: ✓ OK (patrz pytanie 13)
• Firefox: ✓ OK
• Samsung Internet: ✓ OK

KOMPUTER STARY 2015: Zależy od systemu:

• Windows 10+: ✓ OK – TC działa w Chrome/Firefox (TLS 1.3 wspierany)
• Windows 7: ✗ NIE – brak TLS 1.3 (wymóg bezpieczeństwa TC)
• Mac 2015+: ✓ OK – Safari/Chrome
• Linux: ✓ OK – wszystkie przeglądarki

Minimalne wymagania hardware:

• 4GB RAM (lepiej 8GB)
• Przeglądarka: Chrome 131+, Firefox 132+, Edge 131+
• Przepustowość internetu: >1Mbps (wystarczy do emaila)

Co robić jeśli masz Windows 7? Upgrade do Win10 (2500zł nowa licencja) albo zainstaluj Linux (darmowy, Ubuntu).

PRZYCZYNA: Tymczasowa synchronizacja certyfikatów Let's Encrypt z serwerami TC. To standardowy proces przy wdrożeniach nowych systemów SSO.

CZY NORMALNE? TAK – 100% normalne!

• Trwa 2-3 dni od startu (16-18 grudnia 2025)
• Certyfikaty będą ważne automatycznie po synchronizacji
• To NIE jest atak hackera

ROZWIĄZANIE (tymczasowe, 2-3 dni):

• Chrome: Kliknij "Zaawansowane" → "Przejdź mimo to" (bezpieczne tylko na *.feer.org.pl!)
• Firefox: "Zaawansowane" → "Akceptuj ryzyko i kontynuuj"
• Edge: "Szczegóły" → "Przejdź na stronę mimo to"
• Safari: Kliknij "Pokaż szczegóły" → "Odwiedź stronę"

DODATKOWE PORADY:

• ✓ Sprawdź czas systemowy – musi być dokładny (Ustawienia → Data/Godzina → Automatycznie)
• ✓ Wyczyść DNS cache: Windows cmd → ipconfig /flushdns
• ✓ Mac/Linux: sudo dscacheutil -flushcache
• ✓ Poczekaj 48h – certyfikaty będą ważne automatycznie

BEZPIECZEŃSTWO: NIGDY nie akceptuj certyfikatów na podejrzanych domenach (nie FEER). Jeśli zobaczyć "facebook.com" z certyfikatem FEER – to jest phishing, zamknij kartę!

NA ZAWSZE – to standard przyszłości FEER na 10+ lat.

TC nie jest projektem pilotażowym. To fundament nowej infrastruktury IT Fundacji, która będzie:

• Stabilna i niezmienna dla każdego nowego wolontariusza
• Skalowalna – od 50 osób dzisiaj do 500+ za 2 lata
• Przyszłościowa – integracja z nowymi narzędziami, ale zawsze ONE login

NIGDY nie wrócimy do starych czasów 10 haseł – to organizacyjnie niemożliwe i nieefektywne. Każde nowe rozwiązanie IT będzie zintegrowane z TC.

JUŻ DOSTĘPNE (od 1.01.2026):

• ✓ Panel wolontariusza FEER

ORIENTACYJNIE Q1 2026 (styczeń-marzec):

• ✓ Gmail/nowa poczta FEER (migracja ze starego Gmail)
• ✓ Canva (integracja SSO – jeden login)
• ✓ Office 365 / Microsoft 365 (Word/Excel/PowerPoint online)
• ✓ Adobe Creative Cloud (Photoshop/Illustrator online)

ORIENTACYJNIE Q2 2026 (kwiecień-czerwiec):

• ✓ Nextcloud (nowa chmura – pliki/kalendarze/dokumenty)
• ✓ Jitsi (video konferencje zamiast Zoom)
• ✓ Deck/Kanban (zarządzanie projektami, tablica tipo-Trello)
• ✓ Dokumenty Google zamienione na własne edytory

CZERWIEC 2026 – PEŁNA TRANSFORMACJA:

• Wszystko zintegrowane z TC
• Wszystkie dane na polskich serwerach
• eFaktury KSeF + integracje bankowe
• Backup systems i failover gotowe
• Zero zależności od Google/Microsoft/Cloudflare

LOKALIZACJA SERWERÓW:

• Polskie data center Tier III (Małopolska)
• ISO 27001 certyfikat (międzynarodowy standard bezpieczeństwa)
• Zasilanie z UPS + agregat prądotwórczy (brak przerw)
• Klimatyzacja redundantna (dwa systemy niezależne)

REDUNDANCJA I BACKUP:

• Primary server (DC1 Małopolska)
• 2x Offsite backup (Polska + Unia Europejska)
• Failover automatyczny <5 minut (jeśli coś pada, system przełącza się sam)
• RPO (Recovery Point Objective) = 15 minut – maksymalnie 15 minut danych się zgubi
• RTO (Recovery Time Objective) = 1 godzina – przywrócenie systemu w max 60 minut

RODO – 100% ZGODNE:

• Dane w EOG (Europejski Obszar Gospodarski) – Art. 44-50 RODO spełnione
• Brak transferu do USA, Chin, krajów trzecich
• Pełna dokumentacja DPIA (Data Protection Impact Assessment)
• Logi dostępów + export na żądanie + wersjonowanie plików automatyczne

BEZPIECZEŃSTWO TECHNICZNE:

• Szyfrowanie transmisji: TLS 1.3 (bankowe standardy)
• Hashing hasła: Argon2 (najnowszy algorytm crypto)
• WAF (Web Application Firewall) – obrona przed atakami SQL injection, XSS, DDoS
• Penetration testy co kwartał (zewnętrzna firma IT)
• SIEM (Security Information and Event Management) – monitoring 24/7

TAK – TC BARDZO pomaga w compliance grantów!

DLACZEGO:

• Polskie serwery = RODO Art. 44-50 spełnione (bez pytań audytorów)
• Logi dostępów = każdy loguje się do TC, wszystko rejestrowane (Art. 32 RODO)
• Wersjonowanie plików automatyczne = historia zmian dokumentów (Art. 25 RODO)
• Backup daily = disaster recovery gotowe (Art. 32 RODO)
• Open source = przejrzystość kodu (brak backdoorów na zamówienie)

CO AUDYTORZY MOGĄ ZAŻĄDAĆ (a my mamy gotowe):

• ✓ "Pokaż logi dostępów" – CSV/PDF z ostatnich 90 dni
• ✓ "Gdzie są dane?" – Polska, Tier III data center, ISO 27001
• ✓ "Czy backup działa?" – RPO 15 min, RTO 1 godzina, testy co miesiąc
• ✓ "Czy RODO?" – Dokumentacja DPIA, zanonimizacja, eksport danych on-demand
• ✓ "Testy bezpieczeństwa?" – Penetration testy co kwartał, raportów od firmy IT

STATYSTYKA: Granty NBP preferują RODO-compliant infrastrukturę. TC = +5 punktów w audycie.

DLA WOLONTARIUSZA:

• ✓ Jeden login zamiast 10 haseł (16 minut/dzień oszczędności)
• ✓ Brak "zapomniałem hasła" (koniec resetów)
• ✓ Bezpieczeństwo bankowe (MFA + centralne zarządzanie)
• ✓ Lżejsze przełączanie między aplikacjami (no mehr password).

DLA FUNDACJI:

• ✓ Redukcja helpdesku o 70% (mniej resetów haseł, više fokus na biznesy)
• ✓ Onboarding: 2 dni → 5 minut (jeden link, jeden login, działa)
• ✓ Offboarding: natychmiast (jeden click = pełny dostęp wyłączony)
• ✓ Pełna zgodność RODO (polskie serwery, logi, backup)
• ✓ Audyty grantów łatwiejsze (NBP/UE/PFRON pytają o RODO compliance)

DLA PRZYSZŁOŚCI:

• ✓ Niezależność od awarii Google/Microsoft/Cloudflare
• ✓ Polskie serwery = zero ryzyka sankcji USA/blokad geopolitycznych
• ✓ Open source = brak backdoorów, pełna przejrzystość
• ✓ Fundacja technologicznie niezależna