En grossist handler med virksomheder, ikke med privatpersoner. Kunderne har egne priser, egne betingelser og flere brugere, og ordrer kommer både gennem en partnerportal og gennem direkte forbindelser mellem systemer. En penetrationstest bør derfor tage udgangspunkt i, hvordan en ordre bevæger sig fra kunden til lageret og faktureringen, og i om hver kunde kun kan se og gøre det, der er aftalt med netop den kunde.
Det korte svar er, at testen skal dække både portalen og de integrationer, ordrerne løber igennem. Hvilke dele grossisten selv kan teste, afhænger af, hvem der ejer den anden ende af forbindelserne.
Ordreflowet er udgangspunktet
Begynd med at tegne, hvordan en ordre bevæger sig. Den kan komme ind via partnerportalen, via en direkte forbindelse fra kundens indkøbssystem eller via en fil, der overføres med faste mellemrum. Den ender i ERP-systemet, går videre til lageret og bliver til en faktura. Undervejs kan den passere en integrationsplatform, en fragtleverandør og et betalingssystem.
Kortet viser de steder, hvor ordren skifter system, og hvor oplysninger om kunder, priser og leveringer bliver overført. Det er ofte her, de mest relevante spørgsmål til en test ligger. → Integrationer mellem systemer
ERP-systemet er ofte centrum for det hele. Hvis portalen eller integrationerne henter priser og lagerstatus direkte fra ERP-systemet, er det en del af det, der skal tages stilling til, når testen afgrænses. → ERP-system og penetrationstest
Kundepriser og kundekonti i partnerportalen
I en B2B-portal har hver kunde typisk egne priser, egne rabatter og egne betingelser. Prisaftaler er ofte fortrolige, og en kunde skal ikke kunne se, hvad en anden kunde betaler. Det gør adskillelsen mellem kunder til et centralt spørgsmål.
Kunderne har også flere brugere. En indkøber kan bestille, en leder kan godkende, og en bogholder kan se fakturaer. Testen kan for eksempel belyse, om en bruger kun kan handle på sin egen virksomheds vegne, om rollerne inden for kunden virker som tiltænkt, og om en kunde kan se andre kunders ordrer, priser eller fakturaer. → Kunders oplysninger skal holdes adskilt
Testen kræver mindst to testkunder med forskellige priser og flere brugere i hver. Rigtige kunder og rigtige prisaftaler bør holdes uden for, så rapporten ikke kommer til at indeholde fortrolige handelsoplysninger.
Mange portaler tilbyder fælles login, så kundens medarbejdere kan logge ind med deres egen virksomheds konto. Beslut i så fald, om den fælles login-løsning hører til opgaven. → Fælles login (single sign-on) i testen
Direkte forbindelser til partnere
Store kunder og leverandører udveksler ofte ordrer, ordrebekræftelser, fakturaer og lagerstatus direkte mellem systemer, for eksempel via EDI eller et API. Forbindelserne kører uden at nogen logger ind, og de bliver sjældent set efter, når de først virker.
Den anden ende af forbindelsen tilhører partneren. Grossisten kan teste sin egen del: den tjeneste, der modtager ordrer, og den måde, partnere identificeres på. Grossisten kan ikke teste partnerens systemer uden partnerens tilladelse. Afgrænsningen skal stå i opgaven. → API-test forklaret for købere
OWASP API Security Top 10 beskriver kategorier af svagheder, der er særligt relevante for API’er, blandt andet manglende kontrol af, hvilke objekter en bruger har adgang til. Listen kan bruges som en fælles reference, når testens indhold drøftes, men den er ikke en tjekliste, som enhver test automatisk dækker.
Hvis grossisten bruger en integrationsplatform eller en EDI-leverandør, kan der også være vilkår, der sætter rammer for testen. Afklar det med leverandøren, før testen planlægges.
Når nye partnere kobles på
Nye partnere og nye forbindelser kommer til løbende. Hver ny forbindelse kan ændre, hvem der har adgang til hvad. Det kan være en anledning til at se på, om den nye forbindelse er sat op, så partneren kun får adgang til sine egne oplysninger. → Et API åbnes for partnere
Partnere og kunder kan også selv stille krav til grossistens sikkerhed. Hvis en testrapport skal bruges som svar, bør det aftales på forhånd, hvad der kan deles, og om der skal udarbejdes en kortere erklæring.
Når en partner stopper, skal forbindelsen og de tilhørende adgange også lukkes. En oversigt over aktive partnerforbindelser, deres ejere og deres formål gør det lettere både at afgrænse næste test og at opdage forbindelser, som ingen længere bruger.
Testen må ikke blive til rigtige ordrer
I B2B-handel kører ordrerne ofte hele døgnet, og en ordre i systemet kan automatisk blive plukket, pakket, sendt og faktureret. En test af portalen og integrationerne skal derfor planlægges, så testordrer ikke ender som rigtige leverancer eller fakturaer.
Det kan ske ved at bruge et testmiljø, der ligner produktionen, eller ved at aftale, hvordan testkunder og testordrer markeres og stoppes, før de når lageret. Begge valg har betydning for, hvad resultatet kan bruges til. En test i et testmiljø siger ikke uden videre noget om produktionen. → Penetrationstest i produktion eller testmiljø
Lageret, kundeservice og bogholderiet skal vide, at der testes, og hvem de kontakter, hvis en ordre ser mærkelig ud. Fragtleverandører og andre partnere, der automatisk modtager ordreoplysninger, skal også tages i betragtning, så de ikke handler på en testordre.
Det skal I lade være med
- At teste portalen uden integrationerne · mange ordrer kommer aldrig gennem portalen.
- At teste med kun én kunde · adskillelsen af priser og ordrer kræver mindst to.
- At bruge rigtige prisaftaler i testen · fortrolige handelsoplysninger skal holdes ude af rapporten.
- At teste partnerens del af en forbindelse uden aftale · den anden ende tilhører partneren.
- At glemme rollerne inden for den enkelte kunde · indkøber, godkender og bogholder skal kunne forskellige ting.
- At lade gamle partnerforbindelser stå åbne · en afsluttet partner skal ikke kunne sende ordrer.
Hvad kan og ikke kan konkluderes
En test kan vise, om partnerportalen og de forbindelser, der indgik, holdt adskillelsen mellem kunder og roller under testen. Den siger ikke noget om partnernes egne systemer eller om forbindelser, der ikke var med.
Ingen alvorlige fund i portalen siger noget om portalen på testtidspunktet. Om resten af ordreflowet holder, er et andet spørgsmål, som kræver, at integrationerne og partnerforbindelserne også indgår i en test eller en anden form for gennemgang.
Tjekliste for grossisten
- ☐ Er ordreflowet fra kunde til faktura tegnet op?
- ☐ Er portal og direkte forbindelser placeret i eller uden for testen?
- ☐ Er der mindst to testkunder med forskellige priser og roller?
- ☐ Er rigtige kunder og prisaftaler holdt uden for testen?
- ☐ Er partnernes del af forbindelserne afgrænset?
- ☐ Er integrationsplatformens eller EDI-leverandørens vilkår afklaret?
- ☐ Er det aftalt, hvad partnere og kunder kan få at se bagefter?
Kilder
- OWASP API Security: kategorier af svagheder i API’er, herunder adgangskontrol på objektniveau.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Typer af penetrationstest · Spørgsmål og svar
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
