Online examenbestanden distribueren: veilige levering

Veilige online examendistributie betekent het tentamenbestand versleutelen met AES-256-GCM, de ontsleutelsleutel pas vrijgeven op het starttijdstip van het examen via een server-side timer, elke student-PDF voorzien van een watermerk met zijn studentnummer, en het venster sluiten zodra de klok verstrijkt. Het examenbestand zelf blijft versleuteld in rust totdat de geplande minuut aanbreekt. Studenten authenticeren via SSO, de server controleert hun inschrijving, geeft een kort-geldige ondertekende URL vrij naar een per-student-watermerkte kopie, en legt elke toegang vast met tijdstempel en IP-adres. Elk lek is binnen minuten te herleiden naar een specifieke student. Het NCSC benadrukt dat instellingen server-side cryptografische controles moeten implementeren voor hoge-inzet-toetsing — client-side controles alleen zijn niet afdoende.

Waarom de timer server-side moet leven

Client-side aftellingen zijn manipuleerbaar. Een student opent DevTools, onderschept de JavaScript-timer, bevriest hem en krijgt een extra uur. De echte vrijgave van het examen vereist: bestand versleuteld met een server-side bewaarde sleutel, de server weigert de sleutel te leveren vóór de geplande UTC-tijd, en weigert hem te leveren nadat het venster sluit. NTP-gesynchroniseerde servers drijven minder dan 50 ms; studentlaptops drijven met seconden of minuten. Schrijf het examennbeleid als "toegang verleend tussen 2026-10-26T14:00:00Z en 2026-10-26T16:00:00Z" en handhaaf het in middleware, niet in de UI.

Watermerken voor lektoeschrijving

Elke gedownloade examen-PDF moet een voettekst bevatten met de naam, het e-mailadres en een willekeurig 8-karakter token van de student — "jansen — jansen@uni.nl — 7F2K9B3L" op elke pagina. Wanneer het examen 20 minuten na vrijgave op een deelsite verschijnt, zoekt u het token op en weet u binnen seconden welke student het geplaatst heeft. Bibliotheken zoals pypdf of PDFKit (Node.js) stempelen watermerken in minder dan 200 ms per bestand. Voor een groep van 500 studenten parallelliseert u het stempelen en is de hele batch in 30 seconden klaar. Combineer het zichtbare watermerk met een onzichtbaar watermerk in de documentmetadata — sommige schermschotmakers snijden de voettekst weg maar verwijderen de XMP-metadata niet.

Browserblokkering versus erecode

Respondus LockDown Browser, ProctorU en Honorlock gebruiken schermopname, webcambewaking en toetsenbord/klembord-blokkering om spieken te voorkomen. LockDown Browser draait een geharde Chromium-fork, schakelt alt-tab uit en detecteert virtuele machines. Deze tools kosten €2 tot €8 per student per examen. Ze wekken ook AVG-privacybezwaren op — toezichthouders zoals de AP hebben vraagtekens gezet bij de proportionaliteit van webcambewaking tijdens thuis-toetsen. Een erecodeaanpak met krachtige watermerken en achteraf lektracering is lichter, minder invasief en werkt voor de meeste toetsen buiten hoge-inzet professionele licentieringen.

Vroegtijdige toegang tot versleutelde examens voorkomen

Zelfs als het examenbestand een dag eerder op een CDN is gepubliceerd voor prestaties, moet de sleutel vergrendeld blijven. Envelopversleuteling lost dit op: het examenbestand wordt eenmalig versleuteld met een willekeurige inhoudssleutel, en de inhoudssleutel wordt versleuteld met een KMS-bewaarde hoofdsleutel. Op het vrijgavemoment ontsleutelt de server de inhoudssleutel en geeft hem aan de studentclient. AWS KMS, Google Cloud KMS en HashiCorp Vault ondersteunen dit patroon allemaal. Voor een extra laag splitst u de inhoudssleutel met Shamir's Secret Sharing (3-van-5 of vergelijkbaar) zodat geen enkele beheerder het examen solo kan vrijgeven.

Studentauthenticatie en sessiebinding

SSO via Shibboleth of SURFconext bevestigt de identiteit van de student; een WebAuthn- of TOTP-tweede factor bevestigt dat ze fysiek aanwezig zijn met hun beveiligingssleutel of telefoon. Bind de examenssessie aan het geauthenticeerde apparaat — sla de apparaatvingerafdruk op bij het starten van het examen, weiger verdere verzoeken van een andere vingerafdruk. Geef een korte JWT uit (5 minuten geldigheid, elke 2 minuten vernieuwd) zodat een gestolen sessiecookie snel verloopt. De examenclient stuurt elke 15 seconden heartbeats; drie gemiste heartbeats sluiten de sessie en markeren een beoordeling.

Studiefaciliteiten zonder beveiligingslekken

DRC-goedgekeurde tijdverlengingen (doorgaans 1,5x of 2x de standaardduur) moeten worden geïntegreerd in de timerservice, niet er omheen werken. Genereer een per-studentbeleid: student A krijgt 90 minuten van 14:00 tot 15:30, student B met 1,5x krijgt 135 minuten van 14:00 tot 16:15. De sleutelvrijgavelogica leest het beleid per verzoek. Voor studenten in aparte toetscentra coördineert u het starttijdstip met de toetscentrumbegeleider. Versies in groot lettertype of schermlezercompatibele examens hebben dezelfde versleutelings- en watermerkenspijplijn nodig.

Afgesloten examens archiveren en antwoorden vrijgeven

Na afloop van het examen archiveert u het versleutelde vragenbestand, de ingediende antwoorden van elke student met SHA-256-hashes, en het toegangslog voor de verjaringstermijn van geschillen over academische integriteit — doorgaans 1 tot 7 jaar afhankelijk van het instellingsbeleid. Onder de AVG zijn studentantwoorden persoonsgegevens en vereisen ze toegangscontroles. Sla op in een WORM-compatibele bucket (S3 Object Lock in nalevingsmodus) als accreditatie onvervalsingsverificatie vereist. Geef antwoordsleutels pas vrij nadat de laatste student in de laatste tijdzone klaar is.

Ad-hoc distributie naar externe toezichthouders

Een geproctord examen bij een extern toetscentrum vereist soms dat de examen-PDF wordt afgeleverd aan de beveiligde omgeving van de toezichthouder minuten voor het starten. E-mailbijlagen zijn uitgesloten — inboxen lekken. Een versleutelde overdracht met een vervaldatum van 30 minuten, geleverd aan een geverifieerd toezichthoudersadres, verwerkt dit. De toezichthouder downloadt eenmalig, ontsleutelt in de browser, drukt af of toont aan de student, en de link sterft. Voor internationale toezichthouders over tijdzones heen klopt een enkele op UTC-gebaseerde vervaldatum beter dan het proberen lokale vrijgavetijden te berekenen. HexaTransfer ondersteunt kortlopende links.

Probeer het op https://hexatransfer.com — gratis, geen account vereist, maximaal 10 GB. Voor de last-minute versleutelde examen-PDF die uw externe toezichthouder om 14:00 UTC nodig heeft, klopt een end-to-end versleutelde link met 1-uur vervaldatum beter dan een e-mailbijlage die het examenvenster overleeft.