Cómo revisar que una integración no expone documentos entre clientes del despacho

Dibuja el recorrido documental

Enumera origen, conector, almacenamiento temporal, índice de búsqueda y destino de resultados, si existen. Identifica si el acceso se realiza como usuario o mediante una aplicación. El despacho debe saber qué cliente delimita cada consulta y dónde se aplica esa restricción. No basta con que el agente reciba una instrucción de «buscar solo en este expediente» si la herramienta permite consultar el resto.

Crea una matriz de permisos

Define usuarios de cliente A, cliente B, profesional con varios encargos y cuenta técnica. Para cada uno señala qué puede listar, abrir, descargar o modificar. Usa datos ficticios distinguibles para localizar mezclas sin exponer expedientes reales. Revisa también contactos que representan varias entidades: el permiso debe corresponder al encargo concreto y no inferirse de que comparten un correo electrónico.

Prueba objetos y resultados derivados

Desde una identidad limitada a A intenta recuperar una referencia de B mediante los mecanismos de prueba autorizados del equipo técnico. Comprueba listados, archivo directo, miniaturas y exportaciones que use la integración. OWASP explica que la autorización debe verificarse sobre cada objeto solicitado. Un identificador difícil de adivinar ayuda poco si quien lo conoce puede abrir contenido ajeno sin comprobación.

Comprueba cachés y conversaciones

Si hay índice, memoria de conversación o caché, verifica que no devuelvan resultados de otra identidad o cliente. Alterna consultas de A y B y repite tras retirar un permiso. Comprueba títulos y fragmentos, además de archivos completos. Un resumen puede revelar información aunque el enlace al documento se bloquee correctamente; incluye esa salida en la misma prueba de aislamiento.

Registra fallos antes de ampliar alcance

Conserva identidad, caso, resultado esperado y observado sin almacenar contenido real innecesario. Cualquier exposición cruzada requiere detener ese recorrido y corregir su causa antes de ampliarlo. Tras el cambio repite los casos negativos y los positivos para detectar roturas. La autorización técnica no decide quién representa al cliente: esa relación debe confirmarla el despacho y mantenerse actualizada en sus fuentes.

Fuentes y documentación

• OWASP: autorización por objeto en APIs — La autorización debe comprobarse sobre el objeto solicitado, no solo sobre la entrada a la función.
• Uso compartido externo en Microsoft 365 — Los invitados pueden tener acceso por distintas vías; revisa el alcance real del espacio compartido.