Canvas-tilgang

Status: UTKAST — venter på verifisering fra Fjordbyte og (der det er aktuelt) juridisk gjennomgang og IT-gjennomgang hos institusjonen.

Sist oppdatert: 20. mai 2026

Målgruppe: IT-, sikkerhets- og personvernansvarlige ved institusjoner som vurderer Lectora; individuelle undervisere som vil forstå hva det innebærer å koble til en Personlig tilgangstoken (PAT).

Denne siden beskriver nøyaktig hvilke data Lectora leser fra og skriver tilbake til ditt Canvas LMS, hvordan tilgangstokenet (PAT eller LTI-sesjon) lagres, hvor dataene går etter at de kommer inn i Lectora, og hvordan tilgangen kan trekkes tilbake. Den utfyller — og erstatter ikke — Personvernerklæringen, Brukervilkårene og Underdatabehandlere, samt (for institusjonelle engasjementer) den signerte databehandleravtalen.

For trinn-for-trinn-installasjonsveiledninger, se Canvas LTI 1.3 admin-installasjonsveiledningen (institusjonsbred, ~10 minutter for Canvas-administratoren) eller hurtigstart med personlig tilgangstoken (enkelt-lærer-pilot, uten IT-involvering).

Kort oppsummert

Hvordan Lectora kobles til din Canvas

Lectora støtter to tilkoblingsmoduser:

1. LTI 1.3 (institusjonell installasjon)

Canvas-administratoren installerer Lectora som et LTI 1.3-verktøy på konto- eller underkontonivå. Brukere starter Lectora fra inne i Canvas; OAuth 2.0-klientlegitimasjon styrer Lectoras API-tilgang. Anbefales for alle utrullinger utover en enkelt-underviser-pilot — det gir institusjonen full innsikt og kontroll over hvem som kan bruke Lectora og hvilke rettigheter som gis.

Resten av denne siden fokuserer på PAT-modus, som er det de fleste piloter bruker under evaluering. De fleste prinsippene for datahåndtering er identiske mellom de to modusene; forskjellen ligger utelukkende i hvordan Lectora autentiserer seg.

2. Personlig tilgangstoken (PAT) — pilotmodus

Underviseren:

1. Genererer en Personlig tilgangstoken i Canvas (Konto → Innstillinger → "+ Ny tilgangstoken").
2. Limer tokenet inn i Lectoras innloggingsskjerm.
3. Lectora verifiserer tokenet ved å kalle GET /api/v1/users/self mot institusjonens Canvas, lagrer det deretter kryptert (se "Sikkerhet" nedenfor) og starter en bakgrunnssynkronisering av underviserens kursregistreringer.

Fra det øyeblikket gjør Lectora Canvas-API-kall på vegne av denne underviseren, med de samme rettighetene Canvas gir vedkommende.

Personlig tilgangstoken — rettigheter, sensitivitet, kontroll

En Canvas-PAT er tilsvarende brukerens passord for API-bruk. Canvas tilbyr ingen mekanisme for å begrense en PAT til et utvalg rettigheter (i motsetning til for eksempel GitHubs fine-grained personal access tokens). Den som har tokenet, kan kalle alle Canvas-API-endepunkter som brukeren ellers kunne nådd via nettgrensesnittet.

Dette har to implikasjoner som er verdt å forstå:

A. Konsekvensomfanget for en PAT er konsekvensomfanget for brukeren. Underviserens PAT gir kun tilgang til kurs, studenter og oppgaver underviseren har tilgang til i Canvas. En Canvas-administrators PAT gir tilgang til alt på kontoen. Ikke koble en PAT som er generert av en Canvas-kontoadministrator til Lectora med mindre institusjonen eksplisitt har til hensikt at Lectora skal operere med administratorrettigheter. For piloter, bruk en underviserkonto.

B. Lectoras egen tilgangsdisiplin er viktigere enn tokenets iboende rettighetsomfang. Lectoras kode leser kun de spesifikke endepunktene som er listet nedenfor; ingenting annet. Fjordbyte forplikter seg, kontraktsfestet for institusjonelle kunder og som en publisert forpliktelse for PAT-modus-brukere, til at Lectora ikke vil kalle Canvas-endepunkter utenfor det dokumenterte settet uten å varsle institusjonen og innhente godkjenning.

Hva Lectora leser (de faktiske endepunktene)

Den komplette listen over Canvas-API-endepunkter Lectoras kode kaller per gjeldende produksjonsversjon:

Bruker- og registreringskontekst

• GET /api/v1/users/self — verifisere tokenet, hente brukerens navn/e-post/avatar for å fylle ut Lectora-profilen
• GET /api/v1/users/self/enrollments — finne hvilke kurs brukeren har tilgang til
• GET /api/v1/users/:id og /api/v1/users/:id/profile — studentnavn/e-post for kursene som vurderes
• GET /api/v1/users/:id/communication_channels — reserveoppslag for en students primære e-postadresse når profilendepunktet ikke eksponerer den
• GET /api/v1/accounts/self og /api/v1/accounts/self/admins/self — oppdage om brukeren har kontoadministratorrolle (for å vise administratorfunksjoner i UI-et)

Kurs, oppgaver, innleveringer

• GET /api/v1/courses og /api/v1/courses/:id — kursliste, kursdetaljer (inkludert terminmetadata)
• GET /api/v1/courses/:id/users — klasseliste
• GET /api/v1/courses/:id/enrollments (og ?user_id=self) — full registreringsliste, samt brukerens egen rolle i kurset
• GET /api/v1/courses/:id/assignments, /api/v1/courses/:id/assignments/:id og /api/v1/courses/:id/assignment_groups — oppgavemetadata og gruppering
• GET /api/v1/courses/:id/assignments/:id/submissions og GET /api/v1/courses/:id/assignments/:id/submissions/:user_id — studentarbeid som skal vurderes
• Autentisert nedlasting av innleveringsvedlegg og kursfiler via Canvas-utstedte fil-URL-er — hentes inn til Lectora med den tilkoblede brukerens token slik at filen kan analyseres (se "Hvor lagres data" nedenfor)

Vurderingskriterier (rubrics)

• GET /api/v1/courses/:id/rubrics og /api/v1/courses/:id/rubrics/:id — vurderingskriterier brukt av KI-vurdereren

Kursfiler (kun metadata)

• GET /api/v1/courses/:id/folders, /api/v1/courses/:id/files og /api/v1/courses/:id/files/:id — listing og metadata for kursmateriell referert fra oppgaver

Klassiske quizer (når du vurderer Canvas-quizer gjennom Lectora)

• GET /api/v1/courses/:id/quizzes/:id — quizmetadata
• GET /api/v1/courses/:id/quizzes/:id/questions — spørsmålstekst og svaralternativer
• GET /api/v1/courses/:id/quizzes/:id/submissions — liste over studentforsøk
• GET /api/v1/courses/:id/quizzes/:id/submissions/:id/events — hendelseslogg per forsøk (tidsstempler, navigasjon, autolagringer) brukt til å flagge anomalier
• GET /api/v1/courses/:id/quizzes/:id/reports/:id — hente en quizstatistikkrapport Lectora har bedt om tidligere (se "Hva Lectora skriver tilbake" nedenfor)
• GET /api/v1/quiz_submissions/:id/questions — studentsvar, én rad per spørsmål

Grupper

• GET /api/v1/courses/:id/groups og /api/v1/groups/:id/users — gruppekontekst og medlemskap for gruppeoppgaver

Denne listen er uttømmende for gjeldende produksjonsversjon. Fremtidige tillegg styres av varslingsklausulene på Underdatabehandlere-siden og (for institusjonelle kunder) databehandleravtalen.

Hva Lectora skriver tilbake

Lectora gjør skriveoperasjoner mot Canvas kun for følgende operasjoner, og kun etter brukerens eksplisitte forespørsel inne i Lectora:

Karakterer og vurderingskommentarer på ordinære oppgaver

• PUT /api/v1/courses/:course_id/assignments/:assignment_id/submissions/:user_id — brukes for to ulike operasjoner:
  • Legge inn en karakter — JSON-body { submission: { posted_grade } }. Utløses når underviseren godkjenner en KI-foreslått karakter og klikker "Post til Canvas".
  • Poste en vurderingskommentar — skjemakodet comment[text_comment] (med valgfri comment[file_ids][] for vedlagte filer, comment[group_comment] for gruppeoppgaver, og submission[posted_grade] når karakter + kommentar postes sammen). Dette er Canvas' "Grade or comment on a submission"-endepunkt; Lectora bruker ikke et separat endepunkt for å redigere kommentarer.
• POST /api/v1/courses/:course_id/assignments/:assignment_id/submissions/:user_id/comments/files — initiere opplasting av en annotert tilbakemeldingsfil som skal vedlegges en innleveringskommentar. Brukes av Lectoras "publiser tilbakemelding med vedlegg"-flyt; utløses kun når underviseren legger ved en fil sammen med tilbakemeldingen. Selve den oppfølgende multipart-opplastningen går til en Canvas-signert URL (ingen Authorization-header kreves og det er ikke et /api/v1/-endepunkt).
• DELETE /api/v1/courses/:course_id/assignments/:assignment_id/submissions/:user_id/comments/:id — slette en vurderingskommentar Lectora tidligere har postet. Utløses når underviseren trekker tilbake eller erstatter tilbakemelding. Merk: redigering av eksisterende kommentarer støttes ikke — Lectora sletter og poster på nytt.

Klassiske quizer

• POST /api/v1/courses/:course_id/quizzes/:quiz_id/reports — be om en quizstatistikkrapport. Dette genererer en rapport Lectora deretter kan hente med GET for analyser per spørsmål; det oppretter ikke en quiz.
• PUT /api/v1/courses/:course_id/quizzes/:quiz_id/submissions/:submission_id — gi poeng per spørsmål på et eksisterende quizforsøk (quiz_submissions[].questions_scores). Utløses når underviseren godkjenner KI-foreslåtte poeng per spørsmål for et quizforsøk.
• PUT /api/v1/courses/:course_id/quizzes/:quiz_id/questions/:question_id — oppdatere et eksisterende quizspørsmål (f.eks. rette opp en fasitfeil etter at vurderingen avdekker et feilformulert spørsmål). Utløses kun når underviseren eksplisitt redigerer spørsmålet via Lectora.

Lectora gjør ikke følgende:

• Oppretter ikke nye kurs, oppgaver eller quizer i Canvas. (Lectora kan utforme quizer i sitt eget grensesnitt, men å skrive disse tilbake til Canvas er ikke en operasjon Lectora utfører i dag.)
• Kaller ingen DELETE-endepunkter ut over slettingen av vurderingskommentarer nevnt over. Spesielt: ingen sletting av studenter, registreringer, kurs, oppgaver, quizer eller quizspørsmål.
• Gjør ingen endringer av roller/rettigheter, ingen administrative handlinger på kontonivå, og ingen endringer av Canvas-brukere eller -innstillinger utenfor de listede endepunktene.

Hvor lagres data etter at de forlater Canvas

To LTI-modus-legitimasjoner er verdt å trekke fram eksplisitt:

• RSA-nøkkelparet er Lectoras eget signeringsmateriale — Canvas validerer JWT-er utstedt av Lectora mot den offentlige nøkkelen som leveres på Lectoras /api/lti/jwks-endepunkt. Den som har den private nøkkelen, kan bevise Lectoras identitet overfor Canvas ved oppstart. Lectora genererer ett nøkkelpar per installasjon og roterer det ved behov.
• OAuth Developer Key-hemmeligheten er institusjonens legitimasjon — en API-nøkkel Canvas-administratoren oppretter i Developer Keys → API og limer inn i Lectoras registreringsskjema. Den er nødvendig fordi Canvas-LTI-nøkler kun gir client_credentials til selve verktøyet; brukerrettet OAuth (som er måten Lectora skaffer brukerbundet Canvas-API-tilgang etter en LTI-oppstart) krever en separat ikke-LTI Developer Key. api_key-delen krypteres på applikasjonsnivå (AES-256-GCM) før den lagres.

For den autoritative, kontraktsfestede listen over underdatabehandlere og posisjonen for internasjonale overføringer (USA-leverandører dekket av EU SCC), se Underdatabehandlere.

Oppbevaring

[FYLL UT — Fjordbyte bekrefter konkrete varigheter. Kategoriene og utløsende hendelsene under samsvarer med dagens produksjonskodebane; tallene i klammeparenteser er rimelige utgangspunkter som venter på bekreftelse.]

PAT-modus-legitimasjon

• Kryptert Canvas-PAT: lagres kryptert (AES-256-GCM, applikasjonsnivå) til én av følgende skjer: brukeren kobler fra Canvas inne i Lectora, brukeren sletter tokenet i Canvas (Lectora oppdager 401-feilen ved neste kall og fjerner bindingen), eller brukerkontoen slettes. Ved enhver av disse hendelsene fjernes den krypterte legitimasjonen fra databasen innen [VURDER — f.eks. 24 timer].

LTI-modus-legitimasjon

• Registreringsoppføring per Canvas (lti_registrations) — inkludert issuer, klient-ID, deployment-ID, plattform-URL-er, organisasjonskobling og den krypterte OAuth Developer Key-hemmeligheten — beholdes så lenge LTI-installasjonen lever. Å fjerne LTI-verktøyet fra Canvas fjerner ikke automatisk denne oppføringen hos Lectora (Canvas varsler ikke verktøy ved avinstallasjon); sletting initieres av Fjordbyte etter kundens forespørsel eller ved kontraktsopphør, innen [VURDER — f.eks. 7 dager] etter utløsende hendelse. Den krypterte OAuth-API-nøkkelen slettes sammen med registreringsraden.
• Verktøyets RSA-nøkkelpar (lti_key_pairs) er Lectoras eget signeringsmateriale og er ikke institusjonsavgrenset. Aktive nøkler beholdes til de roteres; roterte nøkler holdes inaktive i minst ett Canvas-JWT-makstidsvindu slik at pågående oppstart fortsatt kan valideres, deretter slettes de. Krypterte private nøkler eksporteres aldri ut av databasen.
• Engangs-nonces og OAuth-state-tokens per oppstart (lti_nonces) er engangsbruk og auto-utløper (typisk innen minutter etter utstedelse). Utløpte rader fjernes av en periodisk opprydningsjobb; de inneholder ingen personopplysninger.

Synkroniserte Canvas-data (begge moduser)

• Kurs-, oppgave-, registrerings- og vurderingskriteriemetadata; klasselister; innleveringsinnhold; vurderingsutkast; publiserte tilbakemeldinger — beholdes så lenge piloten/kontrakten er aktiv. Ved opphør av piloten eller kontrakten (eller ved eksplisitt slettingsforespørsel fra en PAT-modus-bruker) slettes alle institusjonsavgrensede data innen [VURDER — f.eks. 30 dager]. Databasens sikkerhetskopier utløper i henhold til Supabases retensjonspolicy; innleveringsvedlegg og eksporterte tilbakemeldingsfiler i Vercel Blob slettes etter samme tidsplan som de tilhørende databaseradene.

Driftsoppføringer

• Revisjonslogger — oppbevares i [FYLL UT — f.eks. 12 måneder] for sikkerhet og driftsfeilsøking, deretter slettes. Inkluderer revisjonsloggene for prøveperiode/rettigheter/lisens som registrerer sysadmin-initierte faktureringsendringer.
• Stripe-webhook-hendelser (stripe_webhook_events) — oppbevares per Stripes anbefalte idempotensvindu, [FYLL UT — f.eks. 90 dager].
• Anonyme / aggregerte bruksmetrikker — oppbevares ubegrenset; inneholder ingen personopplysninger og kan ikke kobles tilbake til en institusjon eller bruker.

Institusjonelle kunder kan be om sletting når som helst ved å sende e-post til lectora@fjordbyte.no. Standard behandlingstid: [FYLL UT — f.eks. 14 dager].

Sikkerhet

• Kryptering i transitt: all Canvas-API-trafikk og all trafikk mellom Lectora ↔ bruker / Lectora ↔ underdatabehandler bruker TLS 1.2 eller nyere.
• Kryptering ved lagring: Canvas-PAT-en krypteres på applikasjonsnivå før den skrives til databasen (AES-256-GCM med 96-bits IV, 128-bits autentiseringstag og versjonerte hovednøkler for nøkkelrotasjon); databasen selv krypterer også ved lagring på lagringsnivå (AES-256, administrert av Supabase).
• Tokenverifisering ved innsending: før Lectora lagrer en PAT, kalles /api/v1/users/self for å verifisere at den er gyldig og knytte den til riktig Canvas-bruker; ugyldige tokens eller tokens for feil base-URL avvises uten å lagres.
• Ingen token i logger: Canvas-PAT-er skrives aldri til applikasjonslogger eller feilsporingsverktøy; Lectoras loggingsrørledning redigerer ut Authorization-headeren.
• Sårbarhetshåndtering: avhengighetsskanning ved hver commit; sikkerhetsoppdateringer rulles ut til kjøretid innen [FYLL UT — f.eks. 7 dager] etter at en kritisk CVE er publisert.

Tilgangskontroll — hvem hos Fjordbyte har tilgang til institusjonsdata

[FYLL UT — Fjordbyte bekrefter og strammer inn denne seksjonen. Utgangspunkt:]

• En dokumentert, navngitt liste av Fjordbyte-utviklere har produksjonsdatabasetilgang, gitt via individuelle SSO-kontoer (ikke delte legitimasjoner).
• All produksjonstilgang logges og kan revideres.
• Tilgang til en bestemt institusjons data, når det kreves for support, følger prinsippet om minst mulig privilegium: tidsbegrenset, formålsbegrenset og loggført.
• Lectoras KI-leverandører (OpenAI, Google Vertex) opererer under kontraktsfestede forpliktelser om null datalagring — de kan ikke se, lagre eller trene på forespørslene Lectora sender dem.

Tilbakekalling av tilgang

Når som helst kan en institusjon eller individuell bruker trekke tilbake Lectoras tilgang til sin Canvas-instans.

Hvis du koblet til via PAT

1. I Canvas: Konto → Innstillinger → Godkjente integrasjoner → finn tokenet som er merket "Lectora" (eller etiketten du brukte da du genererte det) → klikk på papirkurv-ikonet for å slette det.
2. I Lectora: Innstillinger → Integrasjoner → Canvas → Koble fra.

Hvert tiltak alene er tilstrekkelig for å stoppe nye API-kall. Å gjøre begge fjerner legitimasjonen fra begge systemer.

Hvis du koblet til via LTI 1.3

Canvas-administratoren har to spaker — vi anbefaler at begge brukes:

1. I Canvas — fjern eller deaktiver LTI-Developer Key og den tilhørende API-Developer Key. Dette blokkerer umiddelbart Lectora fra å starte nye oppstart og fra å fullføre brukerrettede OAuth-flyter. Eksisterende brukerøkter inne i Lectora fortsetter til de utløper, men Lectora kan ikke utstede ny Canvas-API-legitimasjon.
2. Via e-post til Fjordbyte — send en slettingsforespørsel til lectora@fjordbyte.no som refererer til institusjonen. Canvas varsler ikke verktøy når en LTI-installasjon fjernes, så registreringsoppføringen, den krypterte OAuth Developer Key-hemmeligheten og den tilknyttede organisasjonsavgrensede dataen slettes på Fjordbytes side ved operatørhandling, innen [VURDER — f.eks. 7 dager] etter forespørselen. Den signerte databehandleravtalen kan også angi en strengere SLA for institusjonelle kontoer.

Hva som skjer med dataene dine etter tilbakekalling

Lectora slutter å gjøre Canvas-API-kall umiddelbart når legitimasjonen er ugyldiggjort på Canvas-siden. PAT-legitimasjon fjernes innen [VURDER — f.eks. 24 timer] etter frakobling/tilbakekalling. LTI-registreringsoppføringer og krypterte OAuth Developer Key-hemmeligheter fjernes innen [VURDER — f.eks. 7 dager] etter slettingsforespørsel. Synkroniserte Canvas-data (klasselister, innleveringer, vurderingsutkast, publiserte tilbakemeldinger) følger oppbevaringspolicyen ovenfor — slettes innen [VURDER — f.eks. 30 dager] etter kontraktsopphør for institusjonelle kontoer, eller innen [VURDER — f.eks. 30 dager] etter eksplisitt slettingsforespørsel for PAT-modus-brukere.

For institusjonelle engasjementer

Institusjoner som tar i bruk Lectora utover en enkelt-underviser-pilot bør:

1. Signere Fjordbytes databehandleravtale. Avtalen binder Fjordbyte som databehandler og inkluderer EU SCC for USA-baserte underdatabehandlere. Kontakt lectora@fjordbyte.no for gjeldende versjon.
2. Bruke LTI 1.3, ikke PAT. LTI gir institusjonen full innsikt i Lectoras installasjon, rettighetsgivinger og fjerning.
3. Gjennomgå Underdatabehandlere-siden og (for den autoritative versjonen) Bilag B i databehandleravtalen.
4. Be om en overføringskonsekvensvurdering (Transfer Impact Assessment) for de USA-baserte underdatabehandlerne (Inngest, Resend, Statsig) hvis institusjonens juridiske team krever det — Fjordbyte har TIA-er på fil og kan dele dem under taushetserklæring.

Åpne spørsmål for IT-gjennomgang

Hvis institusjonens IT- eller sikkerhetsteam har spørsmål som denne siden ikke besvarer — f.eks. om spesifikke rammeverk (NSM grunnprinsipper, ISO 27001-tilpasning, BSI C5), penetrasjonstestrapporter, kontinuitetsplaner eller varslingsklausuler for endring av underdatabehandlere — send en e-post til lectora@fjordbyte.no med spørsmålet. Vi svarer innen [FYLL UT — f.eks. 5 arbeidsdager] og legger til vanlige spørsmål på denne siden over tid.

Kontakt

For spørsmål om Canvas-tilgang, datahåndtering, eller for å be om databehandleravtalen: lectora@fjordbyte.no