Invoice Ninja'da Portal ve Yönetici Konsolu Aynı Değil

Invoice Ninja üç ayrı yüzeyi sunuyor: staff yönetim paneli, müşteri portalı ve API. Her birinin farklı kullanıcıları var ve izin yapısı da buna göre tasarlanmış. Sorun şu ki, bu yüzeylerin aynı güvenlik varsayımlarını paylaşması beklenmemelidir.

Staff hesapları ve müşteri hesapları tamamen farklı izin setlerine sahip. Örneğin, bir muhasebe elemanı sadece ödemeler ve raporlarla çalışabilirken, tüm şirket kayıtlarına erişim hakkı olmayabilir. Invoice Ninja'nın kendi kılavuzu bunu açıkça belirtiyor. Ama pratikte, yanlış yapılandırılmış bir kurulum portal yollarını herkese açık bırakabilir ya da staff hesaplarının çok geniş yetkileri olabilir.

Bu ayrım önemli çünkü bir ürün envanteri, bir sistemin nerede çalıştığını gösterebilir ama hangi portal yollarının halka açık olduğunu ya da hangi staff hesaplarının her şeyi görebildiğini söylemez. ZoomEye gibi araçlar Invoice Ninja'nın kaç örneğinin internette olduğunu sayabilir, ama her birinin güvenlik ayarı farklı olabilir.

Eğer kendi Invoice Ninja'nı barındırıyorsan, kullanıcı rollerini ve izinleri dikkatlice ayarla. Bir bookkeeper'ın tüm şirket verilerine erişmesi gerekmiyorsa, onun erişimini sınırla. Staff portalı ve müşteri portalı için ayrı kontrol noktaları kur. Invoice Ninja'nın rehberine bakarak hangi izinlerin neyi kontrol ettiğini anla.

Kısacası: portal ve yönetici konsolu aynı şey değil, izin yönetimi de öyle. Doğru ayar, veri sızıntısını önler.