Pruebas de aislamiento entre inquilinos: ¿puede un cliente acceder a los datos de otro?

La decisión que le ayudará a tomar esta guía

Utilice dos tenants sintéticos y cambie una sola relación de titularidad cada vez. Compruebe cada operación por separado e inspeccione sus efectos posteriores. Una respuesta de acceso denegado en un endpoint no demuestra el aislamiento de las exportaciones, los procesos asíncronos u otra acción sobre el mismo objeto.

Mantener constante una variable

Empiece con una solicitud válida para el tenant A. Repita la operación con una identidad del tenant B manteniendo el mismo objeto y, a continuación, pruebe otro objeto con la identidad original. Estas comparaciones controladas ayudan a distinguir un fallo de autorización de una solicitud mal formada o de un prerrequisito ausente.

Compruebe cada operación por separado

La lectura, actualización, aprobación, exportación y eliminación pueden estar sujetas a controles en distintos puntos. Que un endpoint de listado filtre correctamente los objetos dice poco sobre un endpoint directo de objetos o una descarga de exportación. Utilice la matriz de roles documentada para decidir qué debe permitirse y qué debe denegarse.

Mire más allá del estado de respuesta

Compruebe la propiedad del objeto, el estado persistente y la identidad de auditoría. Algunos servicios devuelven una respuesta genérica de éxito antes de que un proceso en segundo plano ejecute la acción. Siga el trabajo autorizado hasta obtener el resultado y confirme qué datos o permisos del tenant utilizó.

Repetir las pruebas del límite de la política

Una solución duradera vincula en el servidor la entidad autenticada con el inquilino, el objeto y la operación pertinentes. Pruebe tanto la delegación legítima como la denegación. Los identificadores aleatorios y los controles ocultos pueden reducir los descubrimientos accidentales, pero no sustituyen la decisión de autorización empresarial.

Utilice un conjunto de comparación seleccionado deliberadamente

Cree dos organizaciones de clientes con recursos sintéticos e identidades de prueba separados. Confirme primero que cada una puede realizar sus operaciones legítimas. A continuación, repita una operación acordada contra el objeto canario de la otra organización, manteniendo estable el resto de la solicitud. Así será más fácil interpretar el resultado que si se sustituyen identificadores al azar. Incluya por separado los roles reales entre organizaciones del producto; un operador de soporte o de plataforma puede estar sujeto a una política distinta de la de un usuario cliente ordinario.

Pruebe las distintas clases de operaciones, si existen: consulta, modificación, exportación, búsqueda y acciones administrativas. Que una comparación de lectura sea correcta no demuestra que todas las rutas que gestionan el mismo objeto apliquen la misma decisión de política.

Busque cambios de contexto dentro del flujo de trabajo

El contexto de titularidad puede pasar del servicio web a una cola, un worker, una caché o un almacén de archivos. Identifique estos traspasos dentro del alcance y determine dónde debe seguir vinculada a la organización solicitante la decisión esperada. Que el frontend rechace correctamente una llamada aporta información útil, pero una exportación asíncrona o un enlace a resultados accesible de forma independiente pueden requerir una comprobación específica. Utilice datos sintéticos y un conjunto reducido de operaciones aprobado por el responsable.

La guía de autorización en portales de pacientes analiza cambios comparables en las relaciones de acceso, incluidos el acceso delegado y su revocación. Las reglas de negocio son distintas, pero en ambos contextos conviene probar el ciclo de vida de un permiso, y no solo su creación inicial.

Repetir las pruebas de la política y del flujo de trabajo permitido

Formule la condición de aceptación en términos de entidad principal, operación y titularidad. Registre la respuesta de denegación y cualquier estado posterior relevante, junto con una referencia de correlación cuando esté disponible. Tras la corrección, verifique que el cliente legítimo siga pudiendo realizar la acción prevista y que la interfaz adyacente acordada aplique la misma política. Si la implementación centraliza la autorización, valide el resultado observado en lugar de suponer que el cambio arquitectónico es suficiente.

Cuando una acción mueve valor o cambia el estado de una transacción, utilice las comparaciones adicionales de nuestra guía de pruebas de penetración de la autorización de pagos. La titularidad del inquilino y la separación entre quien prepara y quien verifica son controles complementarios; un hallazgo debe identificar qué decisión falló, en lugar de utilizar «control de acceso» como término genérico sin explicación.

Ponga en práctica las directrices

Utilice la lista de preparación para documentar las premisas o consulte el informe ficticio de Fintech AG para ver ejemplos de evidencias y planes de tratamiento. Póngase en contacto con Atlant Security con una descripción no sensible del alcance.