Аудит изоляции данных клиентов в B2B-кабинете
Интерфейс скрывает чужой заказ, но прямой запрос с изменённым идентификатором может вернуть его данные. Особенно опасны выгрузки, ссылки на файлы и административные методы API. До 25 ключевых маршрутов проходят проверку горизонтальных и вертикальных прав; подтверждённые нарушения устраняются, а контрольные пользователи разных организаций не получают чужие карточки, файлы и массовые выгрузки.
Фиксированный пакет рассчитан на один B2B-кабинет, до пяти ролей, до 25 маршрутов или API-методов и исправление до пяти подтверждённых нарушений изоляции. Фиксированная цена — 49 900 ₽, обычный срок — 8 рабочих дней.
Когда стоит обратиться
Обычно к нам обращаются в таких ситуациях:
- Кабинет разделяет несколько юридических лиц и сотрудников.
- Документ открывается по числовому идентификатору или прямой ссылке.
- Роль менеджера имеет массовые экспорты и поиск.
- Нужно проверить не только меню, но и серверное решение по каждому запросу.
Что именно мы сделаем
Создаём контрольные организации, пользователей и объекты без рабочих персональных данных. Стартовые данные: Тестовый контур и код кабинета.
Проверяем прямые URL, API, изменение идентификатора, поиск, фильтры, экспорт и загрузку файла. Результат этапа: Матрица пяти ролей и 25 маршрутов.
Разбираем способ определения организации: сессия, токен, явный параметр и связь объекта в базе. Неоднозначный результат сохраняется для проверки, а не подменяется догадкой.
Исправляем до пяти подтверждённых нарушений на серверном уровне и добавляем регрессионные проверки. Контрольный признак готовности: пользователь открывает собственные контрольные объекты.
На приёмке повторяем матрицу ролей, прямые ссылки и выгрузки. Передаваемый материал: Регрессионные сценарии и протокол приёмки.
Что входит в стоимость
49 900 ₽ за всю работу
Фиксированный пакет охватывает один B2B-кабинет, до пяти ролей, до 25 маршрутов или API-методов и исправление до пяти подтверждённых нарушений изоляции. В цену входят настройка, контрольные сценарии, передаваемые материалы и небольшие связанные уточнения, необходимые для указанного результата.
Что будет готово
Передадим вам
- Матрица пяти ролей и 25 маршрутов.
- Отчёт с воспроизводимыми проверками без рабочих данных.
- Исправления до пяти нарушений изоляции.
- Регрессионные сценарии и протокол приёмки.
Перед сдачей проверим
- Пользователь открывает собственные контрольные объекты.
- Изменение идентификатора не возвращает объект другой организации.
- Экспорт соблюдает те же ограничения, что и список.
- Исправленные нарушения покрыты повторяемой проверкой.
Как это выглядит на практике
Прямая ссылка не открывает чужой документ
До 25 ключевых маршрутов проходят проверку горизонтальных и вертикальных прав; подтверждённые нарушения устраняются, а контрольные пользователи разных организаций не получают чужие карточки, файлы и массовые выгрузки.
Прямая ссылка не открывает чужой документ
Проверка проводится на двух тестовых организациях и нескольких ролях, чтобы увидеть не только меню, но и прямые URL, поиск, экспорт и API. Пользователь одной компании пытается открыть известный идентификатор документа другой. Безопасный результат — отказ без раскрытия названия, суммы или факта существования записи. Все сценарии привязаны к маршруту и роли, а найденные проблемы передаются разработчикам без копирования лишних клиентских данных.
- 01
Пользователь компании А открывает разрешённый контрольный PDF.
- 02
В запросе подставляется идентификатор документа компании Б.
- 03
Сервер повторно проверяет организацию объекта и отклоняет доступ.
- 04
Журнал фиксирует событие без выдачи имени или содержимого чужого документа.
Что понадобится для работы
От вас
- Тестовый контур и код кабинета.
- До пяти ролей и ожидаемая матрица прав.
- Контрольные организации, заказы и документы.
- Ответственный разработчик для внедрения и проверки исправлений.
Если у вас немного другая ситуация
Небольшие уточнения, которые помогают довести согласованный результат до рабочего состояния, уже учитываем в цене. Если по ходу работы появится отдельный крупный блок или понадобится платная лицензия, сначала обсудим варианты и стоимость. Расскажите о своей ситуации — подстроим план под неё.
- 3 000 ₽после подписания договора через Диадок
- 46 900 ₽после выполнения, демонстрации и приёмки результата
Предоплата входит в общую стоимость. Оставшуюся сумму оплачиваете после демонстрации и приёмки готовой работы.
Часто спрашивают
Об этой услуге
Что входит в фиксированную цену?
Пакет включает один B2B-кабинет, до пяти ролей, до 25 маршрутов или API-методов и исправление до пяти подтверждённых нарушений изоляции. Цена всего пакета — 49 900 ₽; обычный срок — 8 рабочих дней.
Что потребуется для начала работы?
Тестовый контур и код кабинета. До пяти ролей и ожидаемая матрица прав.
Что произойдёт с ошибочными или неоднозначными данными?
Маршрут без тестовых данных или ясной матрицы прав отмечается как непроверенный, а не безопасный. Рабочие документы клиентов не копируются в отчёт.
Как будет проверяться результат?
Пользователь открывает собственные контрольные объекты. Изменение идентификатора не возвращает объект другой организации.
Можно ли расширить решение после запуска?
Можно добавить нагрузочную проверку, мобильное приложение или полный аудит авторизации. Этот пакет сосредоточен на разделении данных организаций и ролей.
Что останется у компании после завершения?
Матрица пяти ролей и 25 маршрутов. Отчёт с воспроизводимыми проверками без рабочих данных. Исправления до пяти нарушений изоляции.
Нужно ли передавать рабочие пароли и секретные ключи?
Нет. Доступ выдаётся штатным способом с минимальными правами, а секреты не переносятся в переписку, отчёты или примеры. После приёмки временные доступы можно отозвать.
Как оплачивается работа?
После подписания договора через Диадок оплачивается 3 000 ₽. Остаток 46 900 ₽ оплачивается после демонстрации и приёмки результата по критериям этой страницы.
Цена и изменения по ходу работы
Цена на странице окончательная?
Да. Перед началом мы сверяем исходные данные и фиксируем результат в договоре. Указанная на странице сумма покрывает согласованную работу целиком, даже если её техническая реализация потребует больше времени, чем ожидалось при оценке.
Что означает резерв незапланированных работ?
В цену уже включены небольшие связанные уточнения, которые появляются после старта: например, дополнительное поле или изменение уведомления. Этот запас относится к новым уточнениям и не ограничивает время на основную работу: согласованный результат выполняем полностью за фиксированную сумму. Порядок расчёта резерва закрепляем в договоре; подробности есть в дополнительных вопросах об условиях работы ниже.
Можно уточнять детали уже во время работы?
Да. Небольшие связанные изменения обычно помещаются во включённый резерв и не требуют доплаты. Если новая идея заметно меняет результат или превращается в самостоятельную задачу, сначала обсудим подход и стоимость. Любое решение согласуем до выполнения.
Начало работы и оплата
Как оформляются договор и оплата?
Подписываем договор через Диадок. Предоплата составляет 3 000 ₽ и входит в общую стоимость услуги. Остаток оплачивается после демонстрации и приёмки готового результата.
Когда начинается срок выполнения?
Срок отсчитывается после согласования задачи, получения необходимых доступов и материалов, подписания договора и поступления предоплаты. Конкретную дату старта и плановый день готовности подтверждаем перед началом.
Как учитываются платные лицензии и внешние сервисы?
До старта проверяем, нужны ли тарифы, лицензии, сертификаты или дополнительные ресурсы внешних систем. Если они потребуются, заранее покажем варианты и стоимость. По возможности аккаунты и лицензии оформляются сразу на заказчика.
Проверка результата и гарантия
Как принимается готовая работа?
Вместе проверяем согласованные сценарии на контрольных данных или тестовой копии, а затем демонстрируем результат. Для интеграций сверяем передачу данных и обработку ошибок, для сайта — работу нужных страниц и действий пользователя, для отчёта — расчёты и обновление данных.
Какая гарантия действует после сдачи?
На выполненные изменения действует гарантия 3 месяца. Если в изменённой нами части обнаружится ошибка нашей реализации, проверим и исправим её без дополнительной оплаты. Переданные материалы, настройки и код остаются у заказчика.