Separar el acceso a precios B2B del permiso para comprar

Planifique los permisos de un portal B2B a partir de actividades concretas: consultar los precios de la empresa, reunir las necesidades y enviar un pedido. Una misma persona puede realizar todas estas tareas. El mero hecho de iniciar sesión no debe implicar que esos permisos sean equivalentes.

Mi recomendación es decidir expresamente el acceso a precios y el permiso para realizar pedidos antes de crear un rol general de «cliente de empresa». De lo contrario, quien solo necesita calcular el coste de un proyecto podría obtener también acceso para enviar pedidos.

Una cuenta de empresa, distintas tareas

Una empresa ficticia de eventos quiere comprar materiales para sus estands de feria mediante un portal. El equipo de planificación debe ver los precios acordados y preparar un carrito. Compras debe revisar las necesidades y enviar el pedido. La tabla describe la regla deseada para este ejemplo; no garantiza que sea una función estándar de un producto de tienda.

Planificación necesita una vía clara para entregar el trabajo, como un borrador guardado que el personal autorizado de compras pueda abrir. Compartir una contraseña no sustituye esa entrega. Antes de enviar el pedido, compras debe ver la selección actual y los precios aplicables.

La plataforma debe admitir las acciones necesarias

Los nombres de los roles no bastan para elegir un sistema. Por ejemplo, Shopify describe dos roles de cliente B2B con distinto alcance, y ambos pueden realizar pedidos. De ahí no se desprende que exista un rol limitado a consultar precios para nuestro ejemplo. Compruebe los permisos reales y la vía de entrega admitida en el sistema previsto; cualquier ampliación necesaria debe incluirse en el alcance del proyecto.

La decisión también debe aplicarse en el servidor. La ausencia de un botón de pedido no impide una solicitud directa. OWASP recomienda comprobar los permisos en cada solicitud. Por tanto, la prueba prevista también debe mostrar que planificación no puede enviar pedidos ni obtener precios protegidos después de que se retire su acceso a la empresa. Una página ya abierta no demuestra por sí sola que los permisos sigan vigentes.

Cuándo basta un rol común

Si una sola persona compra para la empresa cliente y también está autorizada a consultar precios, preparar necesidades y pedir, un rol común puede encajar. Añadir etapas de coordinación sin una razón operativa dificultaría las compras. El criterio es el reparto real de tareas: defínalo antes de elegir cómo asignar permisos.

Fuentes

• Shopify — Creating and managing B2B company contacts using customers

• OWASP — Authorization Cheat Sheet