BLODSYKDOMMER.NO – TEKNISK UNDERLAG
Dato: 22. oktober 2026 | Appversjon: 0.18.0

FORMÅL OG AVSENDER
Selvstendig faglig utviklingsprosjekt for hematologiske regneverktøy og
undervisning. Ansvarlig: lege Martin Løvberg Sund.
Kontakt: martin.l.sund@gmail.com
Om nettstedet og personvern: https://blodsykdommer.no/om-nettstedet.html
Ikke en offisiell OUS-tjeneste og ikke en ekstern sikkerhetssertifisering.

ARKITEKTUR OG DATAFLYT
Statisk HTML/CSS/JavaScript. Publisering: OpenAI Sites, Cloudflare-infrastruktur.
Domene/DNS: one.com. Native hostingkontroll oppgir domenet og SSL som aktive.
Ingen applikasjonsdatabase, innlogging, filopplasting eller serverberegninger
er konfigurert i dette prosjektet. Den publiserte plattformen har egne
sikkerhets- og driftsfunksjoner som ikke omfattes av appkoden.

Inntastede kalkulatorverdier brukes lokalt i nettleseren. Koden inneholder
ikke funksjoner for å sende disse verdiene til en server eller lagre dem i
cookies, localStorage eller sessionStorage. Hovedsidebytte nullstiller feltene.
Journaltekst legges i utklippstavlen på brukerens initiativ. PDF bygges i
nettleseren og åpnes som en lokal blob-URL på brukerens initiativ.
Utklippstavle, nedlasting, utskrift og eventuell e-post håndteres deretter av
brukerens nettleser og øvrige systemer.

Nettverkslasting i appen gjelder egne HTML/CSS/JavaScript-filer og egne
3D-modeller/anatomifiler. Eksterne fagkilder åpnes som vanlige lenker etter
brukerhandling. Ingen annonser, eksterne skript-CDN-er, sporingsanalyse,
service worker eller kryptominer er identifisert i den gjennomgåtte appkoden.
Ingen eksterne ressurs-URI-er er funnet i pasientens GLB-modell.

Driftleverandøren kan behandle IP-adresse og tekniske opplysninger i logger.
Cloudflares sikkerhetskapsel __cf_bm ble observert i HTTP-svar 22.10.2026.
Det er derfor ikke korrekt å beskrive hele den publiserte tjenesten som
uten informasjonskapsler eller uten behandling av tekniske personopplysninger.

INNHOLDSPOLICY OG HEADERE
index.html har en CSP-meta-policy før lasting av appressurser:
default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data: blob:; font-src 'self'; connect-src 'self'; object-src 'none'; frame-src 'none'; worker-src 'none'; base-uri 'none'; form-action 'none'

Inline CSS er tillatt fordi eksisterende layout og 3D-kontroller bruker dette.
Inline JavaScript og eval er ikke tillatt. Ingen CSP-rapportering sendes ut.
Referrer-meta-policy er no-referrer.

I _headers er følgende konfigurert for publisering:
CSP som ovenfor, med frame-ancestors 'none'; X-Frame-Options DENY;
X-Content-Type-Options nosniff; Referrer-Policy no-referrer;
begrenset Permissions-Policy; HSTS max-age=15552000 uten preload;
Cross-Origin-Opener-Policy same-origin.

VIKTIG VERIFIKASJONSGRENSE: Dette beskriver konfigurasjonen i prosjektet.
Det er ikke bekreftet at hostingen faktisk leverer _headers-reglene.
frame-ancestors, X-Frame-Options og HSTS kan ikke bekreftes fra HTML-meta.
Sikkerhetsheadere må kontrolleres på et vellykket HTTPS-svar fra appen.

DOMENE OG AUTOMATISKE KONTROLLER
HTTPS-oppslag mot både blodsykdommer.no og den eksisterende Sites-adressen
returnerte HTTP 403 med body "error code: 1010" fra kontrollmiljøet
22.10.2026. Cloudflare dokumenterer 1010 som blokkering basert på klientens
nettlesersignatur. Dette gjelder disse kontrolloppslagene; det beviser ikke
at vanlige brukere eller Palo Altos egne kontrollsystemer får samme svar.
Årsaken til Grayware-klassifiseringen er fortsatt ukjent.

Native hostingkontroll viser aktivt apex-domene og aktiv SSL. Ingen ny
hostingadresse eller DNS-endring er opprettet for å omgå nettverksblokkering.

RESSURSER OG LISENSER
Three.js r180, MIT-lisens. Bibliotek og GLTFLoader leveres lokalt.
MakeHuman/MPFB og Z-Anatomy brukes i benmargssimulatoren.
Modellkilder og konkrete lisensvilkår:
simulator/benmarg/models/ATTRIBUTION.txt
simulator/benmarg/models/licenses/MAKEHUMAN-CC0.txt
simulator/benmarg/models/licenses/Z-ANATOMY.txt

SHA-256 FOR SENTRALE EKSTERNE RESSURSER
sculpture/vendor/three.module.js
  SHA-256: c8211c69345d2e9949dc7a8ac969380497aa0600a5a8ac6a459c8cd02dd9cb8a
  Størrelse: 603113 byte
sculpture/vendor/three.core.js
  SHA-256: eb077d2417f61d3e6d9264c317cabc4ea35769ed6b0ab533067292a550784c20
  Størrelse: 1403455 byte
simulator/benmarg/vendor/GLTFLoader.js
  SHA-256: 680d9bfae4019ce5367dcdbaae80988b5b29e83ec7300de70642ddaedbdd7a75
  Størrelse: 114768 byte
simulator/benmarg/vendor/BufferGeometryUtils.js
  SHA-256: 8c6b3ec6a1157b92d14de57b1c1bf83cc5e17e0419e69c1179058c69889014f1
  Størrelse: 35575 byte
simulator/benmarg/models/patient.glb
  SHA-256: 696b38ec03a3655bd7120937f4df33daf86491151d604552f206ca128236cd57
  Størrelse: 8089648 byte
simulator/benmarg/models/patient-fields.json
  SHA-256: 027d00a34f01006d2d158b820604af0f2e51e347d5a14c563a6795e845c22891
  Størrelse: 4070 byte
simulator/benmarg/models/patient-fields.bin
  SHA-256: 1156bc69962c3af9ac744a3e7d95ba473a32fc19202403ccc26a78ce8812f022
  Størrelse: 3899880 byte

OMFANG OG BEGRENSNINGER
Gjennomgangen omfatter tilgjengelig kildekode, ressurser og konfigurasjon.
Dette er ikke en penetrasjonstest eller garanti for fravær av sårbarheter.
Publiseringsplattformens interne systemer og logger er ikke inspisert.
Klinisk kvalitetssikring er en egen oppgave.

FOR NY VURDERING
Be om konkrete funn for domenets Grayware-klassifisering og manuell teknisk
vurdering. Dersom kategorien er feil, kan Sykehuspartner eller domeneeier be
Palo Alto om omklassifisering. Oppgi dette underlaget og eventuelle tekniske
funn fra vurderingen. Ingen forespørsel er sendt automatisk.