Cum am securizat verificarea statusului reparațiilor

Pagina de status — cea unde orice client poate scana codul QR de pe bon sau introduce manual un cod de forma DM123 ca să vadă în ce stadiu e reparația lui — există de mult și e una dintre cele mai folosite funcții din ServiceGSM.eu. Tocmai pentru că e atât de expusă public, am decis să o trecem printr-un audit de securitate și am găsit o problemă pe care am rezolvat-o imediat.

Problema

Codul de status afișat clienților (DM123, AB45 etc.) e format dintr-un prefix de companie și un număr care crește simplu, 1, 2, 3... Practic, oricine încerca manual coduri "la nimereală" — nu neapărat pe cel primit pe bon — putea nimeri peste reparații reale ale altor clienți și vedea model telefon, defect raportat, preț și fotografii ale reparației.

Nu a fost nevoie de nimic sofisticat pentru a observa asta: pur și simplu numerele secvențiale sunt ușor de anticipat, iar pagina nu avea nicio limită la numărul de încercări.

Ce am schimbat

Am securizat verificarea statusului din două direcții:

• Codul QR de pe bon folosește acum un token unic, generat aleator, imposibil de ghicit sau de dedus din alt cod. Clientul scanează exact ca înainte — nimic nu se schimbă vizual pentru el.
• Căutarea manuală a codului (când clientul tastează codul de pe bon, fără să scaneze) cere acum și ultimele 4 cifre din numărul de telefon folosit la recepția telefonului. Așa, chiar dacă cineva ghicește un cod valid, tot are nevoie și de telefonul clientului ca să vadă ceva.
• Am adăugat și o limită la numărul de încercări pe minut, ca să oprim orice scanare automată a codurilor.

Ce înseamnă asta pentru tine

Dacă folosești deja ServiceGSM.eu, nu trebuie să faci nimic — modificarea e activă automat pentru toate companiile din platformă. Bonurile și SMS-urile trimise de acum înainte au deja noul cod QR securizat. Codurile mai vechi, deja printate sau trimise, funcționează la fel ca înainte — clientul introduce codul și, în plus, ultimele 4 cifre din telefon.

Luăm în serios datele clienților tăi la fel de mult ca pe ale tale, și continuăm să verificăm periodic toate punctele din aplicație unde informațiile ajung public — inclusiv cele care păreau, la prima vedere, banale.