Hoe test je de security van een multi-tenant SaaS-applicatie?

Een multi-tenant SaaS-applicatie bedient meerdere klanten via gedeelde onderdelen. De beveiliging moet voorkomen dat de ene klant toegang krijgt tot gegevens of acties van de andere, ook via minder zichtbare routes zoals exports en achtergrondtaken.

Breng de tenantgrens in kaart

Noteer welke resources bij een tenant horen, welke rollen erbij mogen en hoe de applicatie de tenantcontext bepaalt. Neem browserverzoeken, API’s, geplande taken, serviceaccounts, bestandsopslag en integraties mee. Leg bewust tenantoverstijgende beheerfuncties apart vast en controleer hun rechten en audittrail.

Gebruik twee testtenants met verschillende synthetische gegevens. Controleer dat een bevoegde gebruiker het eigen record kan benaderen en probeer daarna dezelfde actie op een record van de andere tenant. Test waar relevant lezen en schrijven, filters in overzichten, zoeken en objectidentificaties. Een verborgen knop is geen autorisatiecontrole.

Volg gegevens voorbij het eerste verzoek

Controleer downloads, rapporten, cachesleutels en opslagpaden. Als een verzoek een taak in de wachtrij zet, controleer dan of de taak betrouwbare tenantcontext meekrijgt en bij uitvoering passend wordt geautoriseerd. Bepaal wat moet gebeuren als lidmaatschap of rechten vóór de uitvoering veranderen. De juiste uitkomst hangt af van jouw applicatie; een generiek script kan die bedrijfsregels niet invullen.

Controleer zowel de weigering als neveneffecten. Een verzoek kan een fout teruggeven nadat het al een record heeft aangemaakt of taak heeft gestart. Test in een afgesproken omgeving zonder echte klantgegevens. De OWASP-richtlijn voor multi-tenant security behandelt onder meer opslag, caching en asynchrone verwerking.

Maak isolatiecontroles herhaalbaar

Zet de belangrijkste scenario’s om in regressietests en voer die uit bij relevante wijzigingen in code of rechten. Beoordeel de dekking opnieuw bij nieuwe functies en integraties. Geslaagde tests tonen alleen de geteste scenario’s aan.

PolderLabs kan tenantgrenzen in kaart brengen en tests bouwen voor je bestaande SaaS-applicatie. Bekijk security op maat.