Testerò la tua web app per accesso non autorizzato e perdite di dati tra utenti

Un cliente può vedere i dati di un altro cliente? Un utente normale può accedere a un’azione admin modificando un ID in una richiesta? Gli scanner automatizzati quasi mai rilevano questo problema. È l’errore più comune e grave nelle web app, ed è ciò che controllo.

Ho scritto test di controllo accessi su una piattaforma telemedicina conforme a HIPAA, verificando che ogni ruolo utente possa accedere solo ai dati dei pazienti che gli è consentito vedere. Sono uno sviluppatore full-stack su Django, Next.js e PostgreSQL, quindi leggo la tua app come farebbe chi l’ha costruita.

Quello che verifico, manualmente, con account di test che fornisci:

• Se ogni ruolo può leggere o modificare solo i propri record
• Se gli ID negli URL e nelle chiamate API possono essere scambiati per raggiungere i dati di altri utenti
• Se le azioni admin sono bloccate per gli utenti normali sul server, non solo nascoste nell’interfaccia
• Se i tenant in un’app multi-tenant restano separati

Riceverai un report che elenca ogni problema con la sua gravità, i passi esatti per riprodurlo e come risolverlo.

Di raccontarmi della tua app e dei suoi ruoli utente, confermerò lo scope.