Начните с ролей и работы
При выборе PMS одного экрана настройки прав недостаточно. Попросите три вымышленных демо-аккаунта: ресепшен, уборка и руководитель. Проверяйте необходимые задачи вместе с ограничениями. Цель не максимальное скрытие кнопок, а выполнение работы без лишнего доступа. Это закупочный контрольный список, не сертификат безопасности и не полный технический аудит. Используйте придуманные записи и пользователей. Реальные гости, закрытые условия и данные доступа в примеры не входят.
Что показывают источники
OWASP описывает минимальные привилегии: права ограничиваются необходимой работой. Публичный документ Oracle даёт пример назначения задач ролям. Оба прочитаны 8 октября 2026 года. Они не доказывают одинаковые возможности всех PMS или безопасность конкретного продукта. Матрица ниже — наше предложение. Принцип и пример поставщика не заменяют наблюдение в разрешённой демонстрации. Мы не заявляем конкретных прав или функций сеанса Stayax. Публичное описание нельзя записать как завершённый тест.
Определите задачу и ожидаемый результат
В строке матрицы укажите роль, действие, охват записей и результат. Вымышленный сотрудник ресепшена может просматривать сегодняшние приезды, уборки — обновлять порученную подготовку. Для руководителя отдельно задайте проверочную работу. Примеры не устанавливают единую структуру для всех объектов. Сначала определите реальные потребности своей операции, включая границы по объекту и записи. Возможность открыть экран не объясняет доступные сведения и действия. Опишите результат конкретным предложением, чтобы каждый участник понимал одинаковую цель.
Покажите разрешения и ограничения
Попросите продавца показать каждый аккаунт через обычные демо-экраны. Важно видеть и выполненную необходимую работу, и недоступную лишнюю. Скрытая кнопка не доказывает границу доступа; запросите поддерживаемый способ демонстрации нужных данных или действий. Атаки, обход адресов и неразрешённые проверки не требуются. Если наблюдение невозможно, отметьте отсутствие подтверждения и запросите объяснение. Не считайте неполный показ успехом. Демонстрация другим пользователем не является результатом проверяемой роли, даже если экран выглядит одинаково.
Спросите о временной работе и уходе
Уточните выдачу, одобрение и отзыв доступа при временном замещении задачи. Срок окончания и ответственный за пересмотр — ваши требования, не предполагаемые функции. Для уходящего сотрудника спросите, как показать отключение аккаунта и судьбу уже открытого сеанса. Не предполагайте одинаковое поведение поставщиков. Наблюдаемое отделяйте от словесного объяснения или отсутствующего показа. Сценарий проводится с вымышленными пользователями в разрешённой демонстрации, не с настоящей учётной записью сотрудника.
Не блокируйте необходимую работу
Слишком узкая роль может переносить каждое обычное действие на руководителя. Проверьте завершение работы и порядок передачи исключений. Не решайте блокировку выдачей всем прав администратора. Объясните, на каком шаге какие сведения нужны, затем попросите показать подходящий охват. Это сравнение потребности и поведения, не гарантия уровня безопасности или роста производительности. Сохраняйте в оценке и избыточный доступ, и незавершённую работу, иначе удобство или запрет подменят полноценный результат.
Запишите наблюдения для выбора
Для каждого теста фиксируйте роль, ожидание, результат и открытый вопрос. Дата и контекст помогают понять, какой показ оценён. Реальные клиентские данные и ключи доступа не собираются. Разделяйте показано, не показано и ожидается объяснение. Это прозрачные закупочные записи, а не официальный аудит. При выборе продукта не превращайте обещания в завершённые проверки. Одинаковая матрица для кандидатов позволяет сравнить границы ролей, выполненные задачи и неопределённость на сопоставимых основаниях. При изменении версии или роли повторите строку проверки. Сохраните старую запись и датируйте новую, не выдавая прежнее наблюдение за доказательство нового поведения.