Nove perfis, um sistema: quem pode ver e fazer o quê

Da primeira vez que um dono entrega um tablet a alguém novo, costuma fazer a mesma pergunta: o que é que esta pessoa consegue ver?

É a pergunta certa, e a resposta honesta tem de ser concreta.

Nove perfis e para que serve cada um

A questão não é as pessoas não serem de confiança. É que um ecrã cheio de coisas sobre as quais não se pode agir é um ecrã que se aprende a ignorar — e a um operador a quem se mostra a margem de mercadoria deu-se uma distração, não uma ferramenta.

O âmbito por loja é imposto, não pedido

A falha mais comum em operações multiloja é um gerente que vê a cadeia toda porque ninguém limitou a consulta. Dizer a alguém «olha só para a tua loja» é uma política. Impedi-lo é um sistema.

Os pedidos de um gerente são verificados contra o identificador da sua própria loja — na rota, nos parâmetros e no corpo daquilo que submete. Se pedir os números de outra loja, a resposta é não, independentemente do ecrã onde encontrou o botão.

Para que serve a pista de auditoria

Dois registos acompanham cada ação:

• O registo de atividade — uma lista legível do que o pessoal fez: este operador anulou aquele artigo, este gerente aprovou aquele reembolso, a esta hora.
• A pista de auditoria — o registo subjacente do que mudou, com valores antes e depois, o utilizador e o pedido que o trouxe.

Nenhum interessa até ao dia em que um número está errado. Aí são a diferença entre uma conversa sobre factos e uma conversa sobre memórias. É também por isso que um lançamento contabilizado é estornado em vez de editado: um histórico editável não responde a perguntas.

As regras que aguentam tudo isto

Três hábitos valem mais do que qualquer matriz de permissões:

1. Uma pessoa, uma conta. Um login partilhado «caixa1» faz com que cada anulação, reembolso e desconto não seja de ninguém. Se levar só uma ideia deste artigo, leve esta.
2. Aprovação naquilo que mexe em dinheiro. Anulações, reembolsos e descontos acima de um limite deviam exigir um responsável. Não porque o pessoal roube — porque um segundo par de olhos também apanha os erros honestos.
3. Retire acessos no dia em que alguém sai. A saída não é só devolver a farda.

O que protege a própria conta

Por baixo dos perfis estão as defesas de sempre: palavras-passe guardadas em hash, bloqueio da conta após cinco tentativas falhadas, sessões revogáveis dispositivo a dispositivo e tokens de longa duração que rodam em vez de viverem para sempre. Os pontos sensíveis têm limite de pedidos para que um script não possa martelar a página de acesso.

Nada disto se vê num dia normal, que é exatamente o que se lhe pede.

Uma configuração inicial sensata

Para uma loja: um Administrador (o senhor), uma conta de Caixa por operador, uma de Cozinha por ecrã — e, se tiver contabilista, um acesso de Contabilista para deixar de lhe pedir exportações.

Para uma cadeia: acrescente um Gerente por loja e resista à tentação de um segundo Administrador «por comodidade». É assim que uma cadeia acaba com quatro pessoas capazes de mudar preços e nenhuma forma de saber quem o fez.