Raději ti to ukážeme, než abychom řekli „věř nám“. Níže: co se stane, když připojíš banku, kdo za co odpovídá, co děláme ve svém kódu a co se kontroluje při každé změně.
Stručná odpověď: heslo do banky zůstává v bance a ClassKasa umí účet jen číst. Peníze přesunout neumí.
Všechno na této stránce umíme doložit. Co jsme ještě netestovali, to neříkáme.
Když připojuješ banku
Účet třídy připojuje jen pokladník a je to funkce Premium. Rodiče se přes ClassKasu nikdy do banky nepřihlašují.
1
Heslo do banky zůstává v bance
Přihlašuješ se na stránce své banky, na kterou se dostaneš přes Enable Banking. ClassKasa nikdy nevidí ani neukládá tvoje přihlašovací údaje ani heslo do banky.
2
Data stahuje Enable Banking Oy
Enable Banking Oy je poskytovatel služby informování o platebním účtu, registrovaný u finského finančního dohledu (FIN-FSA). Ptá se tvé banky na data, která povolíš, a předává je ClassKase.
3
Co čteme: účet, zůstatek, platby
Název, měnu a číslo účtu, zůstatek a transakce (částku, datum, odesílatele a zprávu pro příjemce). Jen ke čtení: nic z toho nemůže spustit platbu ani přesunout peníze.
4
Na jak dlouho: až 90 dní
Žádáme tvou banku o přístup na 90 dní a banka může nastavit kratší limit. Na účet se díváme nejvýše čtyřikrát denně. Když se přístup chýlí ke konci, ClassKasa ti dá vědět, aby šlo banku připojit znovu.
5
Odpojíš kdykoli
Klepni dole na obrazovce Banka na „Odpojit banku“. ClassKasa přestane číst a požádá Enable Banking o ukončení relace. Banky obvykle uvádějí udělené přístupy i v internetovém bankovnictví, kde je také můžeš odebrat. Už načtené převody zůstanou ve třídě, dokud pokladník nesmaže historii banky.
ClassKasa stojí na několika známých poskytovatelích. Níže je to, co o sobě každý z nich říká na svých stránkách. Jsou to jejich prohlášení, ne naše.
1
Enable Banking (propojení s bankou)
Na svém webu uvádí, že je registrovaný poskytovatel služby informování o účtu pod dohledem FIN-FSA. Veřejný seznam certifikátů jsme tam nenašli, takže mu žádný nepřisuzujeme.
Tyto certifikáty patří našim poskytovatelům. Samotná ClassKasa žádný certifikát ISO ani SOC nemá.
Co děláme ve vlastním kódu
1
Každý endpoint má napsané pravidlo
Každý endpoint, který posílá nebo přijímá data, má záznam v tabulce oprávnění a kód ho kontroluje při každém požadavku. Naše sestavení selže, když přibude nový endpoint bez záznamu.
2
Cizí třídy pro tebe neexistují
Když požádáš o něco, co patří jiné třídě, dostaneš „nenalezeno“, tedy stejnou odpověď jako u něčeho, co neexistuje. Automatické testy to zkoušejí schválně.
3
Žádná čísla karet u nás
Platby kartou jdou přes Stripe. ClassKasa nikdy neukládá čísla karet.
4
Přístup k bance umí jen nahlížet
Banku žádáme jen o zobrazení účtu, nikdy o provedení platby. Přes ClassKasu nejdou peníze přesunout.
5
Jen HTTPS a pravidla pro prohlížeč
ClassKasa říká prohlížečům, aby vždy používaly HTTPS a odmítly se zobrazit uvnitř rámů jiných webů.
Co se kontroluje při každé změně
Tyto automatické kontroly běží při každé změně kódu aplikace. Každá z nich zablokuje sestavení, když najde nový problém.
1
Autorizovaný pentest a opakovaný útok
V květnu 2026 (vydání v3.27.0 a v3.27.1, obě z 2026-05-29) provedl majitel autorizovaný pentest ClassKasy s Claude Code a open-source sadou pentest-ai-agents. Vedl k 8 opravám, z toho 3 hodnoceným jako High. Potom se každý útok zopakoval: opravy obstály a na 3 dalších místech se stejným druhem chyby jsme díru našli a zavřeli, každou s automatickým testem, který nejdřív padal a teď projde.
Hledá rizikové vzory v kódu. Závažný nález zablokuje sestavení.
4
Kontrola knihoven
npm audit zablokuje sestavení při kritických zranitelnostech v knihovnách, které používáme, a OSV-Scanner ho zablokuje při nových známých zranitelnostech.
5
Aktualizace závislostí
Každý týden Dependabot otevře seskupené pull requesty s aktualizacemi závislostí, které našel. Aktualizace typu patch a bezpečnostní aktualizace se sloučí automaticky, jakmile projdou povinné kontroly; hlavní (major) aktualizace vždy čekají na člověka. Týdenní rutina sloučí to, co zůstalo otevřené, do jednoho pull requestu a pracuje na něm, dokud neprojdou všechny blokující kontroly.
6
Hledání tajných údajů
Gitleaks prochází celou historii každého pull requestu a hledá hesla a klíče, které tam nemají být, a TruffleHog v ní hledá živé, ověřené tajné údaje. Nález zablokuje sestavení.
7
Testy mezi třídami
Automatické testy (souborů: 49) se snaží číst a měnit data cizích tříd. Musí dostat odpověď ne.
Nic z toho není certifikát. Kromě pentestu výše jde o automatické kontroly.
Něco se ti povedlo najít? Napiš nám
Napiš na tomek@classkasa.com. Stačí krátká zpráva s kroky, jak chybu zopakovat. Prosíme, netestuj na cizích třídách. Náš kontakt je i ve strojově čitelném souboru security.txt.