B2B-bestelrechten los van prijstoegang plannen
Wie bedrijfsprijzen mag zien en een aankoop mag voorbereiden, mag de bestelling daarmee nog niet automatisch verzenden.
Begin de rechtenplanning voor een B2B-portaal met afzonderlijke activiteiten: bedrijfsprijzen bekijken, behoeften verzamelen en een bestelling verzenden. Dezelfde persoon kan al deze taken uitvoeren. Alleen het feit dat iemand is aangemeld, mag niet betekenen dat die rechten gelijk zijn.
Mijn advies is om prijstoegang en bestelrechten expliciet vast te stellen voordat u een algemene rol «zakelijke klant» invoert. Anders krijgt iemand die alleen een project moet begroten mogelijk ook toegang om bestellingen te verzenden.
Eén bedrijfsaccount, verschillende taken
Een fictief evenementenbedrijf wil materialen voor beursstands via een portaal inkopen. De projectplanning moet de afgesproken prijzen kunnen zien en een winkelwagen voorbereiden. Inkoop moet de behoefte beoordelen en de bestelling verzenden. De tabel beschrijft de gewenste regel voor dit voorbeeld, geen gegarandeerde standaardfunctie van webshopsoftware.
Toewijzing | Bedrijfsprijzen bekijken | Winkelwagen voorbereiden | Bestelling verzenden |
|---|---|---|---|
Projectplanning van het bedrijf | ja | ja | nee |
Inkoop van het bedrijf | ja | ja | ja |
Niet aan het bedrijf toegewezen | nee | nee | nee |
De projectplanning heeft een duidelijke overdrachtsroute nodig, bijvoorbeeld een opgeslagen concept dat bevoegde inkoopmedewerkers kunnen openen. Een gedeeld wachtwoord vervangt die overdracht niet. Voor het verzenden moet inkoop de actuele selectie en geldende prijzen zien.
Het platform moet de benodigde acties ondersteunen
Rolnamen alleen volstaan niet om een systeem te kiezen. Shopify beschrijft bijvoorbeeld twee B2B-klantrollen met een verschillend bereik, die beide bestellingen kunnen plaatsen. Daaruit volgt geen rol die voor ons voorbeeld alleen prijzen mag bekijken. Controleer de werkelijke rechten en de ondersteunde overdrachtsroute in het beoogde systeem; een noodzakelijke uitbreiding hoort bij de projectomvang.
De beslissing moet ook op de server worden afgedwongen. Een ontbrekende bestelknop voorkomt geen rechtstreeks verzoek. OWASP beveelt rechtencontroles bij elk verzoek aan. Een geplande test moet daarom ook laten zien dat projectplanning geen bestelling kan verzenden en na het intrekken van bedrijfstoegang geen beschermde prijzen meer kan opvragen. Een al geopende pagina bewijst op zichzelf niet dat de rechten nog geldig zijn.
Wanneer één gezamenlijke rol volstaat
Als één persoon bij het klantbedrijf inkoopt en ook prijzen mag controleren, behoeften verzamelen en bestellen, kan één gezamenlijke rol passen. Extra afstemmingsstappen zonder bedrijfsreden zouden de inkoop bemoeilijken. De maatstaf is de werkelijke taakverdeling: stel die vast voordat u kiest hoe u rechten toekent.
Bronnen
Verder lezen
Alle artikelen
E-commerce met ASES
Webshops, marktplaatsen en B2B-portalen