Vendedores externos y portales

En una empresa, la cuenta de un empleado nace con su contratación y muere con su salida: hay un dueño claro, recursos humanos, y una fuente de verdad. Con un vendedor externo la cadena se parte. La persona trabaja para otra empresa, que puede contratarla o despedirla sin avisar a Granada Hogar, y la cuenta del portal vive en la de Granada Hogar.

Por eso las cuentas de terceros necesitan un responsable interno que responda por ellas, y una regla que no dependa de que el vendedor avise: el contrato del vendedor es la fuente de verdad de la cuenta, y cuando termina, sus cuentas terminan.

La primera regla del portal es la más importante: cada cuenta ve solo los pedidos, productos y liquidaciones de su propio vendedor. La tabla accesos_portal registra, por cada lectura, el vendedor de la cuenta y el vendedor dueño del recurso. Cuando no coinciden, el portal le mostró a alguien algo que no era suyo.

Esto se lee comparando dos columnas, fila por fila. Si el portal estuviera bien hecho, nunca habría una diferencia; encontrarla dice más del portal que de la persona.

La tabla vendedores trae el estado de cada contrato y la fecha en que terminó o terminará. La regla dice que sus cuentas se desactivan ese mismo día. Compara los vendedores con contrato terminado contra cuentas_vend: si alguna de sus cuentas sigue activa, el portal sigue abierto para personas que ya no tienen relación con Granada Hogar.

Aquí hay un riesgo propio de los terceros. Esas personas conservan el conocimiento de qué datos hay en el portal y de cómo entrar.

La regla de inactividad desactiva toda cuenta sin ingreso en los últimos 90 días. Una cuenta sin uso no protege nada y deja una puerta abierta que nadie vigila: si alguien la compromete, nadie lo notará porque nadie espera verla activa.

A partir de la fecha de la revisión, 2026-10-07, resta 90 días y cuenta las cuentas activas de cuentas_vend cuyo último ingreso es anterior a esa fecha.

La lectura cruzada de la tarea 2 revela una falla de diseño, no de conducta: el portal aceptó una petición de pedidos de otro vendedor. Un portal que filtra por lo que la persona escribe en la dirección o en un campo, y no por lo que el servidor sabe de su sesión, deja ese hueco abierto para cualquier cuenta de cualquier vendedor.

Además, las cuentas de finanzas ven la cuenta bancaria registrada, así que su protección debe ser mayor que la del catálogo. La regla de Granada Hogar lo expresa pidiendo segundo factor para ese rol.