Зручний чат для покупки домену має показувати потрібні документи потрібній людині. Хороший вигляд інтерфейсу не замінює перевірку того, хто може прочитати повідомлення й завантажити вкладення. СПОЧАТКУ ОПИШІТЬ ДІАЛОГ Для кожної розмови зберігайте покупця, домен або замовлення та дозволених працівників продавця. Пропонований контрольний сценарій: покупець А відкриває свій діалог; покупець Б намагається відкрити ту саму адресу; працівник без права листування перевіряє доступ; розмова закривається. Очікувані результати запишіть до тестування. Не використовуйте реальні посвідчення або фінансові документи для такого тесту. ПЕРЕВІРЯЙТЕ КОЖНУ ОПЕРАЦІЮ За рекомендаціями OWASP, доступ перевіряється на сервері, а не лише через приховану кнопку. Це стосується читання історії, надсилання повідомлення, завантаження вкладення та отримання посилання на файл. Ідентифікатор діалогу у URL не є дозволом. Повторіть перевірку після зміни ролі й завершення сесії. Закритий діалог можна залишити доступним для читання, але поведінку нових повідомлень потрібно визначити явно. МІНІМАЛЬНИЙ ОБМІН ДАНИМИ Попросіть у покупця тільки те, що потрібно для конкретного етапу передачі. Для звичайного уточнення назви домену достатньо текстового повідомлення. Паролі реєстратора й одноразові коди входу не повинні бути частиною переписки. Якщо документ містить зайві відомості, запропонуйте підготувати скорочену копію до завантаження, а не публікувати її за відкритим посиланням. ВКЛАДЕННЯ ЯК ОКРЕМИЙ ПРОЦЕС Встановіть дозволені формати й межу розміру. Перевіряйте фактичний вміст файлу; його назви недостатньо. Після перевірки доступу віддавайте документ через керований приватний механізм, а не постійний загальнодоступний URL. Зафіксуйте, хто відповідає за перевірку файлів, помилки та строк зберігання. Для тесту використайте нешкідливий PDF з умовною угодою й зображення без персональних даних. ПЕРЕВІРКА ІНТЕРФЕЙСУ Швидко перемикайтеся між двома тестовими розмовами й переконайтеся, що старі повідомлення не з’являються під назвою нового домену. Перевірте статус надсилання, помилку мережі й оновлення після повернення у вкладку. Позначка «прочитано» має означати визначену подію, а не здогад. Безпечний обмін — це зрозумілий процес із перевіреними межами, не декоративний значок замка. Каталог доменів: https://domainevery.com/uk/domains Першоджерела: https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html https://cheatsheetseries.owasp.org/cheatsheets/File_Upload_Cheat_Sheet.html
