Planera B2B-beställningsrätt separat från prisåtkomst
Den som får se företagets priser och förbereda ett inköp behöver inte automatiskt rätt att skicka beställningen.
Börja planera rättigheterna i en B2B-portal utifrån enskilda aktiviteter: se företagets priser, sammanställa behov och skicka en beställning. Samma person kan utföra alla uppgifter. Enbart en inloggning får däremot inte innebära att rättigheterna är likvärdiga.
Min rekommendation är att uttryckligen besluta om prisåtkomst och beställningsrätt innan du inför en bred roll som ”företagskund”. Annars kan den som bara ska kostnadsberäkna ett projekt även få möjlighet att skicka beställningar.
Ett företagskonto, olika uppgifter
Ett fiktivt evenemangsföretag vill köpa material till mässmontrar via en portal. Projektplaneringen ska se de avtalade priserna och förbereda en varukorg. Inköp ska granska behovet och skicka beställningen. Tabellen beskriver den önskade regeln i exemplet, ingen garanterad standardfunktion i en webbutiksprodukt.
Koppling | Se företagets priser | Förbereda en varukorg | Skicka en beställning |
|---|---|---|---|
Företagets projektplanering | ja | ja | nej |
Företagets inköp | ja | ja | ja |
Utan koppling till företaget | nej | nej | nej |
Projektplaneringen behöver en tydlig väg för överlämning, exempelvis ett sparat utkast som behöriga inköpare kan öppna. Ett gemensamt lösenord ersätter inte överlämningen. Före beställningen måste inköp se det aktuella urvalet och de gällande priserna.
Plattformen måste stödja de nödvändiga åtgärderna
Rollnamn räcker inte för att välja system. Shopify beskriver exempelvis två B2B-kundroller med olika omfattning, som båda kan lägga beställningar. Det visar inte att det finns en roll som enbart får se priser för vårt exempel. Kontrollera de faktiska rättigheterna och den överlämning som stöds i det tänkta systemet; en nödvändig utökning hör till projektets omfattning.
Beslutet måste också upprätthållas på servern. En saknad beställningsknapp hindrar inte en direkt förfrågan. OWASP rekommenderar behörighetskontroll vid varje förfrågan. Ett planerat test måste därför också visa att projektplaneringen inte kan skicka en beställning och inte längre kan hämta skyddade priser efter att företagsåtkomsten har dragits in. En redan öppen sida bevisar inte i sig att rättigheterna fortfarande gäller.
När en gemensam roll räcker
Om en enda person gör inköpen hos kundföretaget och även får kontrollera priser, sammanställa behov och beställa kan en gemensam roll passa. Extra samordningssteg utan verksamhetsskäl skulle göra inköpen svårare. Måttstocken är den faktiska arbetsfördelningen: Fastställ den innan du väljer hur rättigheterna ska tilldelas.
Källor
Läs vidare
Alla artiklar
E-handel med ASES
Webbutiker, marknadsplatser och B2B-portaler