Wer freigeben darf und wie das Portal es weiß
Das Portal weiß, wer freigeben darf, weil jeder Zugang fünf Schalter besitzt: Ansehen, Kommentieren, Freigeben, Upload und Download. Ein neuer Zugang ist rein zum Ansehen; nur ein Zugang mit Freigabe-Recht erreicht den Entscheidungspfad, und die Seite zeigt nie einen Button, den der Zugang nicht nutzen kann. Ein Zugang ist auf ein Projekt oder einen gesamten Kunden beschränkt, und er ist einer bestimmten Person zugeordnet, wenn das Studio deren eigene E-Mail-Adresse oder Telefonnummer hinterlegt. Jede Entscheidung wird mit dem Zugang und der Session, über die sie getroffen wurde, protokolliert.
Fünf Schalter an jedem Zugang
Ein Portal-Zugang enthält fünf Booleans: Ansehen, Kommentieren, Freigeben, Upload und Download. Das Studio legt diese fest, wenn es den Zugang erstellt. Wird ein Zugang ohne Berechtigungen angefordert, ist er rein zum Ansehen. Jede Portal-Route deklariert die eine Berechtigung, die sie benötigt, und ein Wrapper prüft den Zugang, bevor die Route ausgeführt wird - so muss eine Route nie selbst an die Prüfung denken.
„Freigeben“ ist der entscheidende Schalter für die Abnahme. Der Entscheidungspfad setzt diese Berechtigung voraus; ein Zugang, der nur ansehen oder kommentieren darf, kann den Pfad gar nicht erst erreichen und erhält dieselbe Ablehnung wie ein Fremder. Die Portalseite liest beim Öffnen die Berechtigungen des Zugangs aus und blendet aus, was der Zugang nicht tun darf. So sieht ein Kunde mit einem reinen Kommentar-Zugang den Verlauf, aber keinen Freigabe-Button - statt eines Buttons, der dann eine Fehlermeldung erzeugt.
„Ansehen“ wird bewusst nicht durch die anderen Berechtigungen impliziert. Ein Zugang, der freigeben, aber nicht ansehen darf, ist ein Fehler, den ein Studio über die API machen kann. Das Produkt lässt die Route zum Ansehen in diesem Fall ablehnen, damit das Studio den Fehler bemerkt, anstatt ihn stillschweigend zu korrigieren.
Ein Projekt-Zugang oder ein Kunden-Zugang
Ein Zugang ist entweder auf ein Projekt oder auf einen Kunden ausgerichtet. Ein Projekt-Zugang sieht dieses Projekt und sonst nichts. Ein Kunden-Zugang sieht jedes Projekt dieses Kunden. Ein Zugang, der auf keines von beiden ausgerichtet ist, sieht nichts und kann daher auch nichts entscheiden. Ob eine bestimmte Freigabe durch diesen Zugang entschieden werden darf, beantwortet dieselbe Regel rückwärts gelesen: Die Freigabe liegt auf einem Task, der Task auf einem Projekt, und der Zugang muss für dieses Projekt oder den Kunden dieses Projekts freigeschaltet sein.
Das Projekt und der Kunde, auf die ein Zugang verweist, werden mit der studioeigenen Organisation abgeglichen, bevor der Zugang gespeichert wird. So kann ein Zugang niemals organisationsübergreifend verweisen, und bei einem fehlenden Projekt oder Kunden wird „Nicht gefunden“ zurückgegeben, anstatt einen Zugang mit einem ungültigen Verweis zu erstellen.
Der Erinnerungs-Job nutzt dieselbe Scope-Regel, um zu entscheiden, welche Zugänge angestoßen werden sollen, wenn eine Freigabe ihre SLA überschreitet. So wird immer genau der Zugang erinnert, der auch handeln könnte.
Ein Zugang pro Person
Ein Zugang hat ein vom Studio gewähltes Label, wie den Namen des Kunden oder einer bestimmten Person beim Kunden. Wenn das Studio einen Zugang für einen Kunden erstellt, ohne weitere Angaben zu machen, geht die Einladung an die hinterlegte E-Mail-Adresse und Telefonnummer des Kunden. Ist der Zugang für eine bestimmte Person gedacht - etwa den Marketing-Manager statt der Rechnungsadresse -, gibt das Studio die E-Mail-Adresse oder Telefonnummer dieser Person an, und die Einladung wird dorthin gesendet.
Für eine stärkere Bindung zwischen dem Zugang und der Person kann ein Zugang zusätzlich zum Link einen Einmalcode per SMS oder E-Mail verlangen: sechs Stellen, fünf Minuten gültig, fünf Versuche und ein erneuter Versand nach einer Minute möglich. Ein Zugang kann auch die Anzahl der Geräte auf einen Wert zwischen eins und zwanzig begrenzen. Bei einem Limit von eins zieht ein neues Gerät den Zugang an sich und beendet sofort jede andere Session; bei einem höheren Limit wird nur die älteste Session beendet. Dasselbe Gerät wird nie rausgeworfen: Ein Refresh oder ein verlorener Cookie ist keine Strafe.
Das Protokoll des Studios zeigt pro Zugang, wie viele verschiedene Geräte ihn genutzt haben. Ein Zugang, der für eine Person gedacht ist, aber sechs Geräte anzeigt, ist ein Link, der weitergegeben wurde - das Studio kann ihn widerrufen und im selben Moment einen neuen erstellen.
Wenn das Studio im Namen des Kunden entscheidet
Ein Producer kann eine Entscheidung auch auf Studio-Seite eintragen, wenn ihm das Einverständnis des Kunden vorliegt. Die Entscheidungszeile enthält dann die User-ID des Producers und den Akteurstyp „User“. Eine Entscheidung aus dem Portal enthält den Akteurstyp „Portal“ und keine User-ID. Beide sind im Feed und im Audit-Log für immer voneinander unterscheidbar, sodass „Der Kunde hat freigegeben“ und „Wir haben für den Kunden freigegeben“ niemals dieselbe Zeile sind.
Interne Abnahmen - eine Freigabe-Phase, die ein Producer oder Regisseur freigibt - nutzen denselben Mechanismus mit einem Studio-Mitglied als Freigebendem und den für den Task Zuständigen als den Personen, die erinnert werden, wenn es zu lange dauert.
Ablauf, Widerruf und was das Studio sieht
Ein Zugang läuft standardmäßig nach 30 Tagen ab. Das Studio kann 1 bis 365 Tage einstellen oder explizit festlegen, dass er nie abläuft; ein weggelassener Wert lässt nie versehentlich einen dauerhaften Zugang offen. Ein widerrufener Zugang verweigert sofort den Zugriff. Ein widerrufener Zugang wird in der Liste des Studios als widerrufen und nicht als abgelaufen angezeigt, da ein Studio, das einen Link deaktiviert hat, dies auch so sehen möchte.
Auf der Studio-Seite wird jeder Zugang mit seinem Label, Status, Berechtigungen, dem ersten Öffnen, dem letzten Zugriff, den verschiedenen Geräten und der Anzahl der erfassten Freigaben des Kunden aufgelistet. Bevor es diese Liste gab, war die ehrlichste Antwort auf „Hat sie es schon geöffnet?“ ein Telefonanruf.
Das Erstellen und Widerrufen eines Zugangs wird protokolliert, einschließlich der Einstellungen des Zugangs, aber niemals seiner Zugangsdaten. Ein verweigerter Zugriff wird ebenfalls protokolliert, wobei der Grund - nicht gefunden, widerrufen, abgelaufen oder Einmalcode erforderlich - für das Studio erfasst und der Person am Zugang niemals angezeigt wird, da unterschiedliche Ablehnungsgründe einem Angreifer als Anhaltspunkt dienen könnten.
- Standard-Zugang: nur ansehen, 30 Tage, Einladung an die Kontaktadresse des Kunden.
- Freigeben erfordert den Freigabe-Schalter; die UI blendet aus, was der Zugang nicht tun darf.
- Scope ist ein Projekt oder ein Kunde; niemals organisationsübergreifend.
Häufige Fragen
- Können zwei Personen beim Kunden unterschiedliche Rechte haben?
- Ja. Erstelle einfach einen Zugang pro Person, jeweils mit eigener E-Mail-Adresse oder Telefonnummer und eigenen Schaltern. Einer kann nur kommentieren und der andere freigeben - und das Protokoll hält fest, welcher Zugang entschieden hat.
- Was sieht ein Kunde mit einem Zugang, der nur zum Ansehen berechtigt?
- Das Element und seinen Status sowie den Verlauf, wenn Kommentieren aktiviert ist. Kein Freigabe-Button, kein Upload-Bereich, kein Download-Link. Die Seite bietet nur das an, was der Zugang tun darf.
- Kann ein Kunde andere Projekte sehen?
- Ein Projekt-Zugang sieht ein Projekt. Ein Kunden-Zugang sieht die Projekte dieses Kunden. Kein Zugang sieht einen anderen Kunden, die Kundenliste des Studios oder die Namen von nicht beteiligten Mitarbeitern.
- Wie erfährt das Studio, ob ein Link geteilt wird?
- Das Protokoll zeigt die verschiedenen Geräte pro Zugang. Ein Zugang für eine Person, der viele Geräte anzeigt, ist das Signal - und das Studio kann ihn widerrufen und sofort einen neuen erstellen.
- Wird eine Entscheidung, die das Studio für einen Kunden einträgt, anders gekennzeichnet?
- Ja. Eine Portal-Entscheidung enthält den Portal-Akteurstyp und keinen Benutzer; eine Studio-Entscheidung enthält die Benutzer-ID des Producers. Der Feed und das Protokoll halten sie auseinander.