ActiSignal

Realizacja w jednym akapicie

ActiSignal to nasz własny produkt: system do monitorowania aktywności pracowników i stanu komputerów firmowych z Windows. Składa się z agenta działającego jako usługa systemu Windows, API w ASP.NET Core z bazą PostgreSQL, aplikacji dla administratorów klienta, wewnętrznego panelu operatora usługi i strony produktu w Next.js. Całość zaprojektowaliśmy wokół jednego założenia: pokazać firmie to, czego potrzebuje do organizacji pracy i utrzymania komputerów — i zatrzymać się tam, gdzie zaczyna się prywatność pracownika.

Problem: widoczność bez inwigilacji

Programy do monitorowania pracowników mają złą sławę i nie bez powodu. Wiele z nich robi zrzuty ekranu co kilka minut, rejestruje naciśnięcia klawiszy i zapisuje pełne adresy odwiedzanych stron. Taki zakres jest trudny do obrony przed RODO i Kodeksem pracy, a w zespole buduje atmosferę nieufności.

Tymczasem większość pytań, z którymi przychodzi właściciel firmy albo dział IT, jest dużo prostsza: czy praca się rozpoczęła, ile czasu komputer był używany, czy opłacane licencje są wykorzystywane, który laptop od tygodnia nie przesyła danych. Na żadne z nich nie trzeba znać treści ekranu.

Dlatego ActiSignal zbiera metadane, nie treści — i to nie jest ustawienie, które da się przełączyć, tylko granica wpisana w architekturę. Kod, który mógłby odczytać tytuł okna czy wpisywany tekst, po prostu nie istnieje.

Architektura — cztery aplikacje, jedno API

Agent Windows (usługa + proces w sesji)  ──HTTPS──┐
Aplikacja administratora klienta (WPF)   ──HTTPS──┤
Panel webowy klienta (Next.js, BFF)      ──HTTPS──┼──>  API (ASP.NET Core)  ──>  PostgreSQL
Panel operatora usługi (WPF)             ──HTTPS──┘

Backend jest zbudowany według Clean Architecture: Domain (encje i reguły, bez zależności), Application (każda operacja jako jawny use case), Infrastructure (EF Core, PostgreSQL, bezpieczeństwo) i Api jako composition root. Ta sama dyscyplina obowiązuje w agencie: logika i maszyny stanów żyją w projekcie, który da się testować bez systemu Windows, a wywołania Win32, SQLite i HTTP siedzą w osobnej warstwie infrastruktury.

Od początku rozdzieliliśmy też dwa światy: funkcje klienta (komputery, sesje, raporty jego organizacji) i funkcje operatora usługi (organizacje, licencje, wydania agenta). To dwie osobne aplikacje i dwa osobne obszary API — funkcja jednego nigdy nie trafia do drugiego.

Agent Windows — usługa systemowa i proces w sesji użytkownika

Usługa Windows działa w izolowanej sesji 0, więc sama nie widzi pulpitu użytkownika. Dla każdej zalogowanej sesji uruchamia osobny, lekki proces roboczy, pilnuje go i wznawia, jeśli przestanie działać — a brak takiego procesu jest raportowany jako problem do panelu.

Proces w sesji użytkownika jest traktowany jako niezaufany: nigdy nie łączy się z API, tylko przekazuje odczyty usłudze przez lokalny kanał z ograniczonymi uprawnieniami, w którym obie strony nawzajem sprawdzają swoją tożsamość. Dostęp do sieci i poświadczeń ma wyłącznie usługa.

Czas aktywny bez przechwytywania klawiatury

Do wyznaczenia czasu aktywnego wystarczy wiedzieć, że komputer jest używany — nie co zostało wpisane. Agent co kilka sekund odczytuje z systemu czas od ostatniej interakcji i nie instaluje żadnych hooków klawiatury ani myszy. Stan komputera ma prosty priorytet: zablokowany > bezczynny > aktywny, a bezczynność zaczyna się domyślnie po 5 minutach.

Domeny stron dostarcza rozszerzenie przeglądarki (Edge, Chrome, Firefox), które przekazuje wyłącznie nazwę hosta. Strona jest liczona tylko wtedy, gdy przeglądarka jest aplikacją na pierwszym planie, adresy są grupowane do domeny rejestrowalnej według Public Suffix List, a sama funkcja jest domyślnie wyłączona i włącza ją świadomie administrator organizacji.

Praca zdalna: dane nie giną, gdy laptop jest offline

Laptop pracownika zdalnego bywa godzinami bez sieci. Agent zapisuje zdarzenia w lokalnej kolejce SQLite i wysyła je partiami, skompresowane, w osobnych kanałach dla zdarzeń sesji i dla aktywności. Kolejka ma twarde limity rozmiaru i wieku, a jeśli kiedykolwiek musi coś odrzucić, liczba odrzuconych zdarzeń trafia w sygnale „heartbeat” do panelu — utrata danych nigdy nie jest cicha. Serwer przyjmuje partie idempotentnie, więc ponowna wysyłka po zerwanym połączeniu nie tworzy duplikatów.

Wielodostępność, która domyślnie odmawia

Wszystkie organizacje dzielą jeden schemat bazy, a izolacja jest warstwowa: globalny filtr zapytań EF Core, który zawodzi w stronę bezpieczną, gdy nie ustawiono kontekstu organizacji, strażnik przy zapisie, złożone klucze obce i test, który pilnuje listy miejsc, gdzie wolno ominąć filtr. Identyfikator z cudzej organizacji zwraca po prostu 404.

Role, audyt i automatyczne usuwanie danych

• Role — Właściciel, Administrator, Analityk i Audytor, każda ze stałym zestawem uprawnień.

• Dziennik audytu — zdarzenia domenowe zapisywane w tej samej transakcji co zmiana, w tabeli tylko do dopisywania. Audytowany jest także sam odczyt aktywności konkretnej osoby.

• Retencja — organizacja wybiera, czy surowe dane są przechowywane 30, 90, 180 czy 365 dni. Zadanie w tle usuwa je automatycznie, a zostają tylko zagregowane podsumowania dzienne.

• Logowanie administratorów — obowiązkowe drugie uwierzytelnienie (TOTP) i kody odzyskiwania.

Wdrożenie i aktualizacje

Agent jest dostarczany jako instalator MSI (WiX), który dział IT może wdrożyć po cichu przez Intune, GPO albo system RMM. Rejestracja urządzenia działa na krótkotrwałym tokenie: urządzenie wymienia go na własny sekret, zapisany przez DPAPI, a ten na krótko ważny token dostępu, który jest regularnie odnawiany. Unieważnienie urządzenia działa w ciągu około minuty.

Aktualizacje przechodzą przez etapy: szkic, pilotaż, publikacja z rozłożonym w czasie wdrożeniem. Agent pobiera paczkę wyłącznie z własnego API, sprawdza jej sumę kontrolną, a moduł aktualizacji instaluje tylko pakiety z poprawnym podpisem cyfrowym.

Jakość jako element produktu

• blisko 60 zapisanych decyzji architektonicznych (ADR), które wyjaśniają, dlaczego coś działa tak, a nie inaczej,

• ponad 11 tysięcy metod testowych, w tym testy integracyjne na prawdziwym PostgreSQL w kontenerach i testy architektury pilnujące kierunku zależności,

• ostrzeżenia kompilatora traktowane jako błędy i analizator, który zabrania odczytu zegara z pominięciem abstrakcji czasu — dzięki temu logika retencji i sesji jest w pełni testowalna.

Strona produktu

actisignal.pl to statycznie eksportowana strona w Next.js 16 z wersjami polską i angielską, animowanym podglądem panelu na danych przykładowych, cennikiem i rozbudowanym FAQ. Analityka działa wyłącznie po zgodzie (Consent Mode), a treść jest pisana pod frazy, którymi firmy faktycznie szukają takiego oprogramowania. Szerzej o tym, na co zwracać uwagę przy wyborze, piszemy w artykule Program do monitorowania pracowników zgodny z RODO — jak wybrać?

Co z tej realizacji wynika

Najważniejsza decyzja w ActiSignal nie dotyczyła technologii, tylko zakresu danych. Ograniczenie się do metadanych sprawiło, że produkt łatwiej wdrożyć zgodnie z prawem, łatwiej wytłumaczyć zespołowi i łatwiej zabezpieczyć — bo dane, których się nie zbiera, nie mogą wyciec. Ta sama zasada, „zbieraj tylko to, co odpowiada na konkretne pytanie”, sprawdza się w każdym systemie, który przetwarza dane o ludziach.