Planlegg B2B-bestillingsrett separat fra pristilgang
Den som får se bedriftens priser og forberede et innkjøp, trenger ikke automatisk rett til å sende bestillingen.
Begynn planleggingen av rettigheter i en B2B-portal med de enkelte aktivitetene: se bedriftens priser, samle behov og sende en bestilling. Samme person kan utføre alle oppgavene. En innlogging må likevel ikke i seg selv bety at rettighetene er like.
Min anbefaling er å beslutte pristilgang og bestillingsrett eksplisitt før du innfører en bred rolle som «bedriftskunde». Ellers kan den som bare skal kostnadsberegne et prosjekt, også få tilgang til å sende bestillinger.
Én bedriftskonto, ulike oppgaver
En fiktiv arrangementsbedrift vil kjøpe materialer til messestander gjennom en portal. Prosjektplanleggingen skal kunne se de avtalte prisene og forberede en handlekurv. Innkjøp skal gjennomgå behovet og sende bestillingen. Tabellen beskriver ønsket regel i eksempelet, ikke en garantert standardfunksjon i et nettbutikkprodukt.
Tilknytning | Se bedriftens priser | Forberede en handlekurv | Sende en bestilling |
|---|---|---|---|
Bedriftens prosjektplanlegging | ja | ja | nei |
Bedriftens innkjøp | ja | ja | ja |
Uten tilknytning til bedriften | nei | nei | nei |
Prosjektplanleggingen trenger en tydelig vei for overlevering, for eksempel et lagret utkast som autoriserte innkjøpere kan åpne. Et felles passord erstatter ikke overleveringen. Før bestillingen sendes, må innkjøp se gjeldende utvalg og priser.
Plattformen må støtte de nødvendige handlingene
Rollenavn alene er ikke nok til å velge system. Shopify beskriver for eksempel to B2B-kunderoller med ulikt omfang, som begge kan legge inn bestillinger. Det dokumenterer ikke en rolle som bare kan se priser for vårt eksempel. Undersøk de faktiske rettighetene og overleveringen som støttes i det tiltenkte systemet; en nødvendig utvidelse hører til prosjektets omfang.
Beslutningen må også håndheves på serveren. En manglende bestillingsknapp hindrer ikke en direkte forespørsel. OWASP anbefaler kontroll av rettigheter ved hver forespørsel. En planlagt test må derfor også vise at prosjektplanleggingen ikke kan sende en bestilling og ikke lenger kan hente beskyttede priser etter at tilgangen til bedriften er trukket tilbake. En allerede åpen side beviser ikke i seg selv at rettighetene fortsatt gjelder.
Når én felles rolle er nok
Hvis én person gjør innkjøpene i kundebedriften og også kan kontrollere priser, samle behov og bestille, kan én felles rolle passe. Ekstra samordningstrinn uten en driftsmessig grunn ville gjøre innkjøp vanskeligere. Målestokken er den faktiske oppgavefordelingen: Fastsett den før du velger hvordan rettighetene skal tildeles.
Kilder
Les videre
Alle artikler
E-handel med ASES
Nettbutikker, markedsplasser og B2B-portaler