Le contrôle d'accès (autorisation) répond à la question de savoir si un appelant est autorisé à effectuer une action sur des données. Les défaillances sont fréquentes et à fort impact. Organisez les tests et la documentation selon l'endroit où le contrôle échoue :
| Sous-thème | Question |
|---|---|
| Niveau endpoint | Cette route ou fonction est-elle restreinte aux bons rôles ou tenants ? |
| Niveau objet | Cet utilisateur peut-il accéder à cet enregistrement précis (ID, slugs, ressources imbriquées) ? |
| Niveau propriété | L'utilisateur peut-il modifier des champs qu'il ne devrait pas (mass assignment, mises à jour partielles) ? |
| Frontière de confiance | L'application croit-elle les en-têtes, les certificats clients ou l'identité amont sans liaison solide ? |