Roles y permisos en una aplicación de empresa: una matriz para decidir quién puede hacer qué

Entrar en la aplicación no significa tener acceso a todo

La autenticación comprueba la identidad. La autorización decide qué puede hacer esa identidad. Microsoft explica esta separación en sus fundamentos de autorización. Un inicio de sesión correcto no demuestra que una persona pueda descargar el documento de otro cliente.

Dos comerciales pueden compartir las mismas funciones y trabajar con carteras diferentes. Por eso conviene definir dos ejes: la operación —consultar, crear, editar, aprobar, borrar o exportar— y el alcance —registros propios, del equipo, de una sede o de toda la organización—. La matriz de permisos de Escala ilustra este enfoque en un producto real.

Una matriz que se pueda discutir en una reunión

Este ejemplo es hipotético: una pyme gestiona expedientes de servicio. Las decisiones sirven para mostrar el método y deben sustituirse por las reglas reales de cada empresa.

Añade dos columnas más: quién concede cada capacidad y cuándo debe revisarse. «Administración» como departamento no equivale a «administrador técnico» del sistema. Las sustituciones, cambios de equipo y accesos temporales necesitan responsable, motivo y fecha de caducidad para no convertirse en permisos permanentes.

Cuando varias sociedades o sedes comparten el sistema, combina esta matriz con el mapa de la aplicación multiempresa y multisede. Un mismo perfil puede tener alcances distintos en cada organización.

Las operaciones delicadas merecen una decisión propia

• Exportar o descargar conjuntos de datos.
• Borrar, archivar o restaurar registros.
• Modificar importes, estados cerrados o datos de facturación.
• Aprobar una excepción o actuar como segunda persona revisora.
• Gestionar usuarios, permisos, integraciones y cuentas técnicas.

El principio de mínimo privilegio y la denegación cuando no existe una concesión explícita forman parte de las recomendaciones de OWASP para controles de acceso. En términos de negocio, cada perfil debería recibir lo necesario para completar su tarea, no todas las capacidades por si alguna vez hacen falta.

Incluye también las cuentas que usan las integraciones. Una conexión con el ERP no necesita necesariamente los mismos permisos que una persona de administración. Debe tener un propietario, un propósito, credenciales propias y el alcance mínimo que permita ejecutar el intercambio acordado.

Ocultar un botón mejora la interfaz, pero no aplica el permiso

La interfaz debería evitar ofrecer acciones que una persona no puede utilizar, pero el control decisivo debe existir también en el servidor. La guía de autorización de OWASP recomienda validar permisos en cada solicitud y no confiar solo en comprobaciones del cliente.

Para revisar una entrega, pide cuentas de prueba. La misma operación debe funcionar para el perfil autorizado y rechazarse para otro. Comprueba enlaces directos, cambios de identificador, búsquedas, adjuntos y exportaciones. El rechazo debe ser claro sin revelar el nombre, importe o existencia de información que la persona no debería conocer.

Convierte cada fila en una prueba de aceptación

1. 01

   Prepara datos ficticios

   Crea registros propios, de otro equipo y de otra sede para que el alcance sea visible.

2. 02

   Prueba el camino permitido

   Comprueba la acción desde la pantalla y conserva el resultado esperado.

3. 03

   Prueba la denegación

   Repite con otro perfil, un enlace directo y, cuando proceda, una descarga o petición equivalente.

4. 04

   Cambia el contexto

   Traslada a la persona de equipo, retira una excepción y verifica que una sesión abierta no conserve acceso indebido.

5. 05

   Revisa la administración

   Confirma quién puede conceder el permiso, qué queda registrado y cómo se revoca.

Incluye la matriz y estas pruebas al definir el MVP y sus criterios de aceptación. Así el permiso deja de ser una frase genérica y se convierte en comportamiento comprobable.

Qué llevar a la primera conversación

Lleva tres perfiles, cinco acciones y dos ejemplos de información que cada perfil no debería ver. Añade quién aprueba excepciones y qué ocurre cuando una persona cambia de puesto. Con ese material se pueden detectar dudas antes de presupuestar pantallas.

NAS Solutions desarrolla aplicaciones a medida. La matriz puede servir como punto de partida para definir reglas y pruebas dentro del alcance; la cobertura concreta de implantación, administración y revisiones periódicas se acuerda en cada propuesta.