Aislamiento por inquilino y auditoría de uso

El aislamiento entre inquilinos no vive en el modelo ni en su texto de instrucciones: vive en cada componente que guarda o sirve datos. La caché de respuestas, el índice de vectores, la memoria de la conversación, la clave del proveedor y el registro de uso necesitan, cada uno, algo que separe a un inquilino de otro: un espacio de nombres, una columna obligatoria, una clave propia. Un componente que olvida esa separación comparte datos con todos.

Pedirle al modelo que «no mezcle los datos de las tiendas» no es aislamiento, porque el modelo no controla lo que la aplicación ya guardó ni lo que otro inquilino ya preguntó. El control es de la aplicación, antes y después del modelo.

Una caché de respuestas ahorra dinero porque, si dos clientes hacen la misma pregunta, la segunda respuesta sale de la memoria y no del modelo. Si la clave con la que se busca en la caché es solo el texto de la pregunta, dos inquilinos que preguntan lo mismo reciben la misma respuesta, incluso si esa respuesta se generó con datos del primero. La fuga no la causa ningún atacante: la causa un diseño.

Consulta el inventario de componentes y localiza el que se comparte entre inquilinos sin separarlos por quién pregunta.

Para saber si el diseño defectuoso causó una fuga real hay que mirar la evidencia: cada acierto de caché cuenta quién preguntó y quién originó la respuesta. Cuando son distintos, el inquilino que preguntó recibió una respuesta generada para otro. El recuento mide la exposición, y el campo contenido_resumido permite valorar la gravedad: un horario de tienda no tiene la misma sensibilidad que una lista de precios mayoristas.

Cuenta los aciertos de caché en los que el inquilino que preguntó no es el que originó la respuesta.

La auditoría de uso responde a «quién consumió qué». Para eso cada petición debe llevar el inquilino. Las peticiones sin identificar no se pueden atribuir: no se sabe a quién cobrarlas, ni a quién avisar si hay un abuso, ni si pertenecen a alguien que no debería estar. Un porcentaje pequeño de peticiones sin inquilino parece inofensivo, pero es el sitio donde un abuso se esconde.

Lee el registro de uso de septiembre y anota cuántas peticiones llegaron sin identificar a su inquilino.

Una vez que se sabe qué componente mezcla datos, la corrección vive en ese componente: que la clave de la caché incluya al inquilino, de modo que nunca coincida entre dos, y que la lectura compruebe el inquilino del dato antes de servirlo. Para el gasto, claves o cuotas por inquilino permiten atribuir y acotar lo que consume cada uno. Los parches que dependen del modelo o de limpiezas periódicas dejan la ventana abierta entre limpieza y limpieza.