Ce que cela signifie pour votre test
Une liste de points de terminaison ne précise pas qui détient un compte ni qui peut approuver une opération. Construisez le test autour de l’acteur, de l’objet et de l’état de la transaction, en incluant les traitements en arrière-plan et les identités des partenaires. Utilisez des tenants synthétiques distincts pour démontrer les opérations autorisées et interdites.
La frontière à tester
L’authentification peut réussir alors que l’autorisation échoue. Les rôles des commerçants, clients, partenaires et administrateurs doivent être explicitement rattachés au tenant concerné dans les requêtes ordinaires, les exports et les tâches asynchrones.
Une API marchande peut authentifier correctement l’appelant sans rattacher un objet à ce marchand. Un webhook peut être authentique et pourtant rejoué au mauvais état de transaction. Les tests doivent tenir compte des décisions métier attendues du produit, et pas seulement d’une liste d’URL de points de terminaison.
Ce que le périmètre peut inclure
- Autorisation au niveau de l’objet, de la propriété et de la fonction
- Isolation des commerçants et des environnements clients
- Audience du jeton, portées, expiration et cycle de vie de la session
- Exports, webhooks et accès aux tâches asynchrones
La proposition finale identifie les applications, les comptes, les environnements et les interfaces concernés. Elle précise également les prérequis que votre équipe ou un prestataire doit fournir.
À quoi ressemble une preuve utile
Utilisez au moins deux locataires dédiés et une matrice des rôles documentée. Comparez les requêtes portant sur le même objet avec différents principaux et vérifiez la propriété dans le résultat côté serveur.
Consignez l’heure UTC, l’identifiant de l’actif, le principal à l’origine de la requête, la décision attendue et la réponse observée. Les tests qui modifient l’état nécessitent une confirmation dans l’objet résultant ou dans un journal d’audit fiable. Les opérations refusées et les contrôles effectifs font également partie du résultat.
Mesures de sécurité et limites de l’évaluation
Tester votre intégration n’autorise pas à tester un prestataire de paiement ou un autre locataire. Les environnements de test des partenaires et les points de terminaison convenus doivent être identifiés dans le périmètre.
Utilisez des locataires dédiés, des données clients synthétiques et des circuits de paiement de test avec le règlement réel désactivé. Convenez des autorisations des systèmes partenaires, des limites de transaction, de la procédure de retour arrière et des fenêtres de mise en production. Les activités en production doivent avoir des responsables explicitement désignés et un canal d’arrêt clairement défini.
Bouclez la démarche
Reliez chaque faiblesse à un responsable nommé, à une mesure de protection immédiate et à une correction pérenne. Définissez des cas de retest positifs et négatifs afin que la modification rétablisse la limite prévue tout en préservant les usages légitimes. Les points en suspens conservent leurs dépendances et leurs échéances.
Consultez l’exemple de rapport sectoriel pour découvrir le format des éléments probants et du plan de traitement.
