Planlæg B2B-bestillingsret adskilt fra adgang til priser
Den, der må se virksomhedens priser og forberede et indkøb, behøver ikke automatisk ret til at sende ordren.
Begynd planlægningen af rettigheder i en B2B-portal med de enkelte aktiviteter: se virksomhedens priser, samle behov og sende en ordre. Den samme person kan udføre alle opgaverne. Et login må dog ikke i sig selv betyde, at rettighederne er ens.
Min anbefaling er at beslutte adgang til priser og retten til at bestille udtrykkeligt, før du indfører en bred rolle som »erhvervskunde«. Ellers kan den person, der blot skal beregne omkostningerne ved et projekt, også få adgang til at sende ordrer.
Én virksomhedskonto, forskellige opgaver
En fiktiv eventvirksomhed vil købe materialer til messestande via en portal. Projektplanlægningen skal kunne se de aftalte priser og forberede en kurv. Indkøb skal gennemgå behovet og sende ordren. Tabellen beskriver den ønskede regel i eksemplet, ikke en garanteret standardfunktion i et webshopprodukt.
Tilknytning | Se virksomhedens priser | Forberede en kurv | Sende en ordre |
|---|---|---|---|
Virksomhedens projektplanlægning | ja | ja | nej |
Virksomhedens indkøb | ja | ja | ja |
Ikke tilknyttet virksomheden | nej | nej | nej |
Projektplanlægningen har brug for en tydelig vej til overdragelse, eksempelvis en gemt kladde, som de autoriserede indkøbere kan åbne. En fælles adgangskode erstatter ikke overdragelsen. Før afsendelse skal indkøb se det aktuelle udvalg og de gældende priser.
Platformen skal understøtte de nødvendige handlinger
Rollenavne alene er ikke nok til at vælge system. Shopify beskriver eksempelvis to B2B-kunderoller med forskelligt omfang, som begge kan afgive ordrer. Det dokumenterer ikke en rolle, der kun kan se priser, til vores eksempel. Undersøg de faktiske rettigheder og den understøttede overdragelse i det påtænkte system; en nødvendig udvidelse hører til projektets omfang.
Beslutningen skal også håndhæves på serveren. En manglende bestillingsknap forhindrer ikke en direkte forespørgsel. OWASP anbefaler kontrol af rettigheder ved hver forespørgsel. En planlagt test skal derfor også vise, at projektplanlægningen ikke kan sende en ordre og ikke længere kan hente beskyttede priser, efter at adgangen til virksomheden er fjernet. En allerede åben side beviser ikke i sig selv, at rettighederne stadig gælder.
Hvornår én fælles rolle er nok
Hvis en enkelt person køber ind hos kundevirksomheden og også må kontrollere priser, samle behov og bestille, kan én fælles rolle passe. Ekstra afstemningstrin uden en driftsmæssig grund ville gøre indkøbet sværere. Målestokken er den faktiske opgavefordeling: Fastlæg den, før du vælger tildelingen af rettigheder.
Kilder
Læs videre
Alle artikler
E-handel med ASES
Webshops, markedspladser og B2B-portaler