¿Cómo probar el aislamiento de tenants en exportaciones de datos SaaS?
El aislamiento de tenants no consiste únicamente en filtrar la pantalla por cliente. La consulta de exportación, la tarea en segundo plano, el almacenamiento del archivo y el enlace de descarga…
¿Qué contiene este artículo?
Respuesta breve
El aislamiento de tenants no consiste únicamente en filtrar la pantalla por cliente. La consulta de exportación, la tarea en segundo plano, el almacenamiento del archivo y el enlace de descarga deben aplicar los mismos permisos del cliente correspondiente. Las pruebas también deben verificar que el identificador del informe de un cliente no permite acceder al archivo de otro.
El aislamiento debe continuar en la cola de informes
No confíe en el parámetro de tenant elegido por el usuario como identidad. El servidor debe comprobar los informes que puede crear en ese espacio. Las tareas necesitan identidad del tenant, alcance y contexto de autorización; los workers deben consultar dentro de ese límite. Autorizar la creación no justifica un resultado públicamente descargable.
Un nombre de archivo o una URL difícil de adivinar no sustituye el control de acceso. Compruebe de nuevo los permisos actuales al descargar. Para enlaces temporales, defina los riesgos de compartición, el plazo de validez y la necesidad de revocación. Las pruebas de aceptación deben incluir intentos de descarga mediante enlaces antiguos por parte de usuarios cuyos permisos se hayan retirado.
Hacer visible el alcance del informe
Muestre periodo, espacio cliente y hora de creación en el archivo. Facilitan verificaciones operativas, no son mecanismos de seguridad. Una clave de caché sin tenant puede entregar el informe al cliente equivocado. Dos tenants con parámetros idénticos requieren una prueba específica.
El acceso temporal del soporte también debe reflejarse en el sistema. Registre delegaciones y roles excepcionales; una etiqueta genérica “admin” no debe permitir por defecto descargar todos los archivos de clientes. El enfoque OWASP de autorización de objetos puede guiar controles de identificadores de informes y archivos.
Pruebas negativas como requisito de entrega
Cree registros de ejemplo con marcas distintas en dos tenants de prueba. Haga que el primer usuario intente acceder con el identificador del informe, la URL del archivo y los parámetros de filtrado del segundo. Compruebe que se mantiene el contexto del tenant en la tarea en cola y que no hay colisiones entre las claves de caché. El resultado no debe contener la marca del otro tenant. Repita estas pruebas para cada tipo de informe y rol.
Lista de verificación de implementación
- ¿Se verifica la identidad del tenant en el servidor?
- ¿El worker respeta el mismo límite de datos?
- ¿La descarga se autoriza por separado?
- ¿La caché se separa por cliente?
- ¿Se hicieron pruebas negativas con el identificador de otro tenant?
Preguntas frecuentes
¿Los UUID proporcionan aislamiento?
Pueden dificultar adivinar identificadores; no sustituyen controles de autorización.
¿Y si se revoca el acceso mientras se genera el informe?
Compruebe acceso actual al descargar; el antiguo permiso de creación no debe otorgar derechos ilimitados.
Alcance y límites
Estas pruebas cubren un flujo de exportación concreto. Verifique por separado aislamiento en todas las API, archivos y operaciones de fondo.
Fuentes y actualidad
Revisión de fuentes: 7 de octubre de 2026. Las versiones de los documentos enlazados y las condiciones de los proveedores pueden cambiar. Compruebe la versión actual de la fuente pertinente antes de implementar.