Vou testar seu app web para acesso quebrado e vazamento de dados entre usuários

Um cliente pode ver os dados de outro cliente? Um usuário comum pode chegar a uma ação de admin alterando um ID numa requisição? Scanners automatizados costumam não detectar isso. É a falha mais comum e séria em apps web, e é o que eu testo.

Escrevi testes de controle de acesso em uma plataforma de telemedicina compatível com HIPAA, garantindo que cada função de usuário pode acessar apenas os dados do paciente que está autorizado a ver. Sou desenvolvedor full-stack em Django, Next.js e PostgreSQL, então leio seu app como quem o construiu faria.

O que eu verifico manualmente com contas de teste que você fornece:

• Se cada função pode ler ou alterar apenas seus próprios registros
• Se IDs em URLs e chamadas de API podem ser trocados para alcançar dados de outros usuários
• Se ações de admin são bloqueadas para usuários normais no servidor, e não apenas escondidas na UI
• Se inquilinos em um app multi-tenant permanecem separados

Você recebe um relatório listando cada problema com sua severidade, os passos exatos para reproduzir e como corrigir.

Conte-me sobre seu app e seus papéis de usuário, e eu confirmo o escopo.