Quem pode aprovar, e como o portal sabe

Cinco interruptores em cada porta

Uma porta do portal tem cinco valores booleanos: visualizar, comentar, aprovar, carregar e descarregar. O estúdio define-os ao criar a porta, e uma porta solicitada sem permissões é apenas de visualização. Cada rota do portal declara a permissão única de que necessita, e um wrapper verifica a porta antes de a rota ser executada, pelo que uma rota nunca precisa de se lembrar de fazer essa verificação.

Aprovar é o interruptor que importa para a validação final. A rota de decisão exige-o; uma porta apenas de visualização ou apenas de comentário não consegue aceder de todo à rota, e a resposta é a mesma recusa que um estranho receberia. A página do portal lê as permissões da porta quando é aberta e oculta o que a porta não pode fazer, pelo que um cliente com uma porta apenas de comentário vê a conversa e nenhum botão de aprovação, em vez de um botão que falha.

A visualização não está deliberadamente implícita nas outras permissões. Uma porta que pode aprovar mas não visualizar é um erro que um estúdio pode cometer através da API, e o produto permite que a rota de visualização recuse o acesso para que o estúdio se aperceba, em vez de o corrigir silenciosamente.

Uma porta de projeto ou uma porta de cliente

Uma porta está direcionada para um projeto ou para um cliente. Uma porta de projeto vê esse projeto e mais nada. Uma porta de cliente vê todos os projetos desse cliente. Uma porta que não esteja direcionada para nenhum deles não vê nada, pelo que não pode decidir nada. Se uma determinada aprovação cabe a esta porta decidir é algo respondido pela mesma regra lida ao contrário: a aprovação reside numa tarefa, a tarefa num projeto, e a porta deve estar limitada a esse projeto ou ao cliente desse projeto.

O projeto e o cliente para os quais uma porta aponta são verificados em relação à própria organização do estúdio antes de a porta ser registada, pelo que uma porta nunca pode apontar para outras organizações, e um projeto ou cliente em falta devolve um erro de não encontrado, em vez de criar uma porta com uma referência pendente.

A tarefa de lembrete utiliza a mesma regra de âmbito para decidir quais as portas a notificar quando uma aprovação ultrapassa o seu SLA, garantindo que a porta que recebe o lembrete é sempre uma porta que poderia agir.

Uma porta por pessoa

Uma porta tem uma etiqueta escolhida pelo estúdio, como o nome do cliente ou de uma pessoa específica no cliente. Quando o estúdio cria uma porta para um cliente sem especificar mais nada, o convite é enviado para o e-mail e telefone de contacto do próprio cliente. Quando a porta se destina a uma pessoa específica - o gestor de marketing em vez do endereço de faturação - o estúdio fornece o e-mail ou telefone dessa pessoa, e o convite é enviado para aí.

Para uma ligação mais forte entre a porta e a pessoa, uma porta pode exigir um código de utilização única por SMS ou e-mail além do link: seis dígitos, os cinco minutos, cinco tentativas e reenvio permitido após um minuto. Uma porta também pode limitar o número de dispositivos, de um a vinte. Com um limite de um, a entrada de um dispositivo desconhecido transfere a porta para si e termina imediatamente todas as outras sessões; com um limite maior, apenas a sessão mais antiga é terminada. O mesmo dispositivo nunca é expulso: uma atualização de página ou a perda de um cookie não é uma punição.

O histórico do estúdio mostra, por porta, quantos dispositivos distintos a utilizaram. Uma porta destinada a uma única pessoa que mostre seis dispositivos indica um link que foi partilhado, e o estúdio pode revogá-lo e emitir um novo no mesmo minuto.

Quando o estúdio decide em nome do cliente

Um produtor também pode registar uma decisão do lado do estúdio, com o consentimento do cliente. A linha de decisão passa então a conter o ID de utilizador do produtor e um tipo de agente 'user'. Uma decisão proveniente do portal contém um tipo de agente 'portal' e nenhum ID de utilizador. Os dois são distinguíveis no feed e no registo de auditoria para sempre, pelo que 'o cliente aprovou' e 'aprovámos em nome do cliente' nunca serão a mesma linha.

As validações internas - uma etapa de aprovação que um produtor ou realizador conclui - são o mesmo mecanismo, com um membro do estúdio como aprovador e os responsáveis da tarefa como as pessoas notificadas quando esta aguarda há demasiado tempo.

Expiração, revogação e o que o estúdio vê

Por predefinição, uma porta expira após 30 dias. O estúdio pode definir entre 1 e 365 dias, ou escolher explicitamente que não expire; um valor omitido nunca deixa uma porta permanente aberta por acidente. Uma porta revogada recusa o acesso imediatamente. Uma porta revogada aparece como revogada e não como expirada na lista do estúdio, porque um estúdio que desativou um link quer ver que o fez.

O lado do estúdio lista cada porta com a sua etiqueta, estado, permissões, primeira abertura, última atividade, dispositivos distintos e a contagem de aprovações de clientes registadas. Antes de esta lista existir, a resposta honesta a 'será que ela já abriu?' era um telefonema.

A criação e revogação de uma porta são auditadas, com as definições da porta e nunca as suas credenciais. Uma entrada recusada também é auditada, com o motivo - não encontrada, revogada, expirada ou código de utilização única obrigatório - registado para o estúdio e nunca mostrado à pessoa na porta, porque uma diferença nas recusas serve de pista para quem tenta adivinhar.

• Porta predefinida: apenas visualização, 30 dias, convite para a linha de contacto do cliente.
• Aprovar requer o interruptor de aprovação; a interface oculta o que a porta não pode fazer.
• O âmbito é um projeto ou um cliente; nunca entre organizações.