Модель ограниченного доверия

Доступ не должен
быть безразмерным.

Для чтения отчёта не нужен доступ к сайту. Для диагностики достаточно наблюдаемых данных. Для исправления требуется отдельное, ограниченное разрешение.

Владелец сайта
Разрешённый проект
Выбранное действие
Правило 01

Диагностика не равна изменению

Найденная проблема остаётся наблюдением, пока владелец не выбрал действие и не подтвердил его область.

Правило 02

Секрет не становится отчётом

Пароли, ключи и токены не должны попадать в экспортируемый документ или отображаться как доказательство находки.

Правило 03

Разрешение можно отозвать

Завершение работы не должно оставлять бессрочный доступ. Отзыв является частью нормального сценария, а не аварийной мерой.

СценарийЗащита процессаПроверяемый итог
Ошибочный выбор файла

Preview перечисляет затрагиваемые объекты.

Объём виден до запуска.
Неожиданный результат

До применения создаётся связанная точка возврата.

Откат относится к той же операции.
Лишние полномочия

Доступ выдаётся конкретному проекту и задаче.

Соседние ресурсы не включены.

Безопасность здесь — это управляемый процесс, а не значок в интерфейсе.

Ответы о работе приложения →