Separare il diritto di ordinare dall’accesso ai prezzi B2B
Chi può vedere i prezzi aziendali e preparare un acquisto non ha automaticamente bisogno del permesso di inviare l’ordine.
Per pianificare i permessi di un portale B2B, parta dalle singole attività: vedere i prezzi aziendali, raccogliere il fabbisogno, inviare un ordine. La stessa persona può svolgerle tutte. Il solo fatto di aver effettuato l’accesso non deve però implicare che questi permessi siano equivalenti.
Raccomando di decidere esplicitamente l’accesso ai prezzi e il diritto di ordinare prima di introdurre un ruolo generale di «cliente aziendale». Altrimenti, chi deve soltanto calcolare il costo di un progetto potrebbe ottenere anche la possibilità di inviare ordini.
Un account aziendale, compiti diversi
Un’azienda fittizia di eventi vuole acquistare materiali per stand fieristici tramite un portale. Il gruppo di pianificazione deve vedere i prezzi concordati e preparare un carrello. L’ufficio acquisti deve esaminare il fabbisogno e inviare l’ordine. La tabella descrive la regola desiderata per questo esempio, non una funzione standard garantita di un software per negozi.
Assegnazione | Vedere i prezzi aziendali | Preparare un carrello | Inviare un ordine |
|---|---|---|---|
Pianificazione dei progetti dell’azienda | sì | sì | no |
Ufficio acquisti dell’azienda | sì | sì | sì |
Nessuna assegnazione all’azienda | no | no | no |
La pianificazione ha bisogno di un passaggio chiaro, per esempio una bozza salvata che l’ufficio acquisti autorizzato possa aprire. Condividere una password non sostituisce questo passaggio. Prima dell’invio, l’ufficio acquisti deve vedere la selezione attuale e i prezzi applicabili.
La piattaforma deve coprire le azioni necessarie
I nomi dei ruoli non bastano per scegliere il sistema. Shopify, per esempio, descrive due ruoli cliente B2B con ambiti diversi, entrambi autorizzati a effettuare ordini. Da questo non si può dedurre un ruolo di sola consultazione dei prezzi per il nostro esempio. Verifichi i permessi effettivi e il passaggio supportato dal sistema previsto; un’eventuale estensione necessaria rientra nell’ambito del progetto.
La decisione va applicata anche sul server. L’assenza del pulsante d’ordine non impedisce una richiesta diretta. OWASP raccomanda di controllare i permessi a ogni richiesta. Il test previsto deve quindi mostrare anche che la pianificazione non può inviare ordini né ottenere prezzi protetti dopo la revoca dell’accesso all’azienda. Una pagina già aperta non dimostra da sola che i permessi siano ancora validi.
Quando basta un ruolo comune
Se nell’azienda cliente acquista una sola persona, autorizzata anche a verificare i prezzi, preparare il fabbisogno e ordinare, un ruolo comune può essere adatto. Ulteriori passaggi di coordinamento senza ragioni operative renderebbero più difficili gli acquisti. Il criterio è la divisione effettiva dei compiti: va definita prima di scegliere come assegnare i permessi.
Fonti
Continuate a leggere
Tutti gli articoli
E-commerce con ASES
Negozi online, marketplace e portali B2B