Isolation des données multi-tenant

L'identifiant de tenant (ou d'organisation) est lu depuis la session authentifiée ou un token vérifié, et de nulle part ailleurs. Le prendre dans le corps de la requête, la query string, un paramètre de chemin ou un en-tête fourni par le client est refusé, même si le code contrôle ensuite l'appartenance. Tout identifiant de tenant que le client peut envoyer est un identifiant de tenant que le client peut changer.

Bloque : c'est la racine de tout le modèle d'isolation — une seule exception annule toutes les autres règles.

Chaque select, update et delete sur une table scopée par tenant inclut le prédicat de tenant — y compris les accès par clé primaire. « L'id est un UUID, donc il est indevinable » n'est pas un contrôle d'autorisation : les identifiants fuient par les exports, les logs, les tickets de support et les URL partagées.

Bloque : un seul prédicat manquant, et les données fuient d'un client à l'autre.

Toute clé de cache dérivée d'un id d'entité, d'une saisie utilisateur ou d'un résultat calculé inclut l'identifiant de tenant. Une clé qui ne le fait pas sert les données d'un client à un autre, et l'entrée empoisonnée survit au déploiement qui a introduit le bug — le correctif ne corrige donc rien.

Bloque : les fuites de cache traversent les clients, persistent et n'apparaissent pas dans les logs.

Les fichiers déposés et générés sont écrits sous un préfixe scopé par tenant, et toute URL signée est émise avec une expiration courte (quinze minutes au plus). Un espace de noms de bucket à plat signifie qu'une clé devinable ou énumérable donne un accès direct au document d'un autre client, sans qu'aucun code applicatif n'intervienne.

Bloque : le stockage objet contourne tous les contrôles qui vivent dans votre application.

Un job mis en file ou une tâche planifiée inclut l'identifiant de tenant dans son payload, et le handler rétablit le périmètre à partir de là avant de toucher aux données. S'appuyer sur un contexte ambiant ou local au thread à l'intérieur d'un worker est refusé — le contexte qui a produit le job a disparu depuis longtemps quand celui-ci s'exécute.

Bloque : un worker mal scopé écrit chez le mauvais client, en silence.

Une nouvelle table qui contient des données clients déclare une colonne de tenant non nulle, avec une clé étrangère vers la table des tenants, et un index qui commence par cette colonne. L'ajouter plus tard impose une migration sur une table remplie, plus un audit de toutes les requêtes écrites entre-temps.

Bloque : le coût d'une erreur ici grandit chaque jour où la table existe.

Avant de créer une invitation ou de changer un rôle, vérifiez que l'acteur est bien membre du tenant de la session avec le droit d'attribuer, et que l'utilisateur cible comme le rôle cible appartiennent à ce même tenant. L'élévation de privilèges entre tenants est le bug le plus grave de cette catégorie de produits, et son chemin de code a l'air parfaitement ordinaire.

Bloque : cela offre à un attaquant un accès durable, et d'apparence légitime, aux données d'un autre client.

Une requête qui traverse volontairement les tenants — outillage d'administration, agrégats de facturation, analytics internes — passe par un helper non scopé et nommé comme tel, et journalise l'acteur qui l'a lancée. Sans sortie de secours identifiée, le filtre disparaît discrètement dans du code ordinaire, et les deux cas deviennent indiscernables en revue.

Avertit : les usages légitimes existent, l'objectif est donc la visibilité — le reviewer confirme que la sortie de secours était voulue.

Une ressource appartenant à un autre tenant renvoie exactement ce que renvoie une ressource inexistante. Un 403 confirme que l'id existe, ce qui transforme n'importe quel endpoint en oracle d'énumération sur le volume de données, la nomenclature et l'activité d'un autre client.

Avertit : cela fait fuiter des métadonnées plutôt que du contenu, mais c'est ce qui rend les attaques ciblées bon marché.

Chaque nouvel endpoint scopé par tenant est livré avec un test qui vérifie qu'un membre du tenant B reçoit un 404 sur une ressource du tenant A. L'isolation est la propriété que le test manuel n'exerce jamais, parce qu'un humain n'est connecté qu'à un seul compte à la fois.

Avertit : des tests manquants ne cassent pas la production aujourd'hui — ils garantissent seulement que personne ne s'en apercevra le jour venu.