B2B sipariş yetkisini fiyat erişiminden ayrı planlamak

Bir B2B portalında yetkileri planlarken tek tek işlerden başlayın: firma fiyatlarını görmek, ihtiyaçları bir araya getirmek, siparişi göndermek. Bu işler aynı kişide toplanabilir. Yalnızca oturum açılmış olması, bunların aynı yetki sayılmasına yol açmamalıdır.

Önerim, genel bir “firma müşterisi” rolü oluşturmadan önce fiyat erişimini ve sipariş yetkisini açıkça kararlaştırmanızdır. Aksi hâlde yalnızca bir projenin maliyetini hesaplayacak kişiye sipariş gönderme erişimi de verilebilir.

Tek firma hesabı, farklı işler

Kurgusal bir etkinlik işletmesi, fuar stantları için malzemeyi bir portaldan tedarik etmek istiyor. Proje planlama ekibi, anlaşmalı fiyatları görüp sepet hazırlayacak. Satın alma ekibi, ihtiyacı inceleyip siparişi gönderecek. Aşağıdaki tablo, bu örnekte istenen kuralı anlatıyor; bir mağaza ürününün garanti edilen standart işlevi değildir.

Proje planlama ekibinin anlaşılır bir devir yoluna ihtiyacı var: örneğin yetkili satın alma ekibinin açabileceği kaydedilmiş bir taslak. Ortak parola kullanmak bu devrin yerini tutmaz. Satın alma ekibi, göndermeden önce güncel seçimi ve geçerli fiyatları görmelidir.

Platform, gereken eylemleri karşılamalı

Seçim için yalnızca rol adlarına bakmak yetmez. Örneğin Shopify, kapsamları farklı olan ancak ikisi de sipariş verebilen iki B2B müşteri rolünü açıklıyor. Buradan örneğimiz için yalnız fiyatları görmeye izin veren bir rol olduğu sonucu çıkmaz. Kullanmayı düşündüğünüz sistemin gerçek yetkilerini ve desteklediği devir yolunu inceleyin; gerekli bir genişletme proje kapsamına dâhil edilmelidir.

Karar sunucuda da uygulanmalıdır. Sipariş düğmesinin olmaması doğrudan istek gönderilmesini engellemez. OWASP, her istekte yetki kontrolünü öneriyor. Bu nedenle planlanan test, proje planlama ekibinin sipariş gönderemediğini ve firma erişimi kaldırıldıktan sonra korunan fiyatları artık alamadığını da göstermelidir. Önceden açılmış bir ekran tek başına yetkinin sürdüğünü kanıtlamaz.

Ortak rol ne zaman yeterli olur?

Müşteri işletmede tek bir kişi satın alıyorsa ve fiyatları inceleme, ihtiyacı hazırlama, sipariş verme yetkisi de varsa ortak bir rol uygun olabilir. İşleyişte gerekçesi olmayan ek değerlendirme adımları satın almayı zorlaştırır. Ölçüt, işlerin gerçekte nasıl dağıldığıdır: uygun yetki yapısı bu dağılım netleştikten sonra seçilebilir.

Kaynaklar

• Shopify — Creating and managing B2B company contacts using customers

• OWASP — Authorization Cheat Sheet