Qué implica esto para su prueba
Una lista de endpoints no indica quién es titular de una cuenta ni quién puede aprobar una operación. Diseñe la prueba en torno al actor, el objeto y el estado de la transacción, incluidos los procesos en segundo plano y las identidades de socios. Utilice tenants sintéticos independientes para demostrar las operaciones permitidas y las prohibidas.
El límite que conviene probar
La autenticación puede completarse correctamente mientras que la autorización falla. Los roles de comerciantes, clientes, socios y administradores deben estar vinculados explícitamente al tenant correspondiente en las solicitudes habituales, las exportaciones y los trabajos asíncronos.
Una API de comercio puede autenticar correctamente a quien realiza la llamada y, aun así, no vincular un objeto con ese comercio. Un webhook puede ser auténtico y reproducirse de nuevo en un estado de transacción incorrecto. Las pruebas deben tener en cuenta las decisiones de negocio previstas para el producto, no limitarse a una lista de URL de endpoints.
Qué puede incluir el alcance
- Autorización a nivel de objeto, propiedad y función
- Aislamiento de comerciantes y entornos de cliente
- Audiencia del token, ámbitos, caducidad y ciclo de vida de la sesión
- Exportaciones, webhooks y acceso a trabajos asíncronos
La propuesta definitiva identifica las aplicaciones, cuentas, entornos e interfaces concretos incluidos. También indica los requisitos previos que debe aportar su equipo o un proveedor.
Qué aspecto tiene una prueba útil
Utilice al menos dos tenants dedicados y una matriz de roles documentada. Compare las solicitudes sobre el mismo objeto con distintos principales y verifique la titularidad en el resultado del lado del servidor.
Registre la hora UTC, el identificador del activo, la identidad solicitante, la decisión esperada y la respuesta observada. Las pruebas que modifican el estado requieren confirmación en el objeto resultante o en un registro de auditoría fiable. Las operaciones denegadas y los controles efectivos también forman parte del resultado.
Medidas de seguridad y límites de la evaluación
Probar su integración no autoriza a probar un procesador de pagos ni a otro inquilino. Los entornos de pruebas de los socios y los endpoints acordados deben identificarse en el alcance.
Utilice tenants dedicados, datos sintéticos de clientes y circuitos de pago de prueba con la liquidación real deshabilitada. Acuerde los permisos de los sistemas asociados, los límites de las transacciones, la reversión y las ventanas de liberación. Las actividades en producción deben tener responsables explícitos y un canal claro para detenerlas.
Cierre el ciclo
Vincular cada debilidad con un responsable identificado, una salvaguarda inmediata y una corrección duradera. Definir casos de repetición de pruebas positivos y negativos para que el cambio restablezca el límite previsto y permita el uso legítimo. Los asuntos pendientes conservan sus dependencias y plazos.
Consulte el informe de muestra del sector para conocer el formato de las evidencias y del plan de tratamiento.
