Qué es
Una mesa gratuita de revisión de accesos en tu navegador. Lee listas sencillas de roles o exportaciones CSV y las convierte en una matriz, un buscador de rutas y una lista de riesgos ordenada por gravedad.
Mapa de revisión de accesos
¿Quién puede tocar qué? Dibuja el mapa antes de que pregunte el auditor.
Pega tus roles y lo que puede hacer cada uno, y después quién tiene cada rol. Permission Map resuelve cada permiso con la regla de que la denegación gana, dibuja la matriz de accesos, traza la ruta desde una persona hasta cualquier recurso y marca las combinaciones que provocan incidentes.
Para quién es
Para fundadores que rellenan un cuestionario de seguridad, administradores que ordenan roles, responsables técnicos antes de una auditoría y cualquiera a quien le pregunten quién puede borrar datos de clientes.
Qué resuelve
La verdad sobre los accesos está repartida entre el proveedor de identidad, hojas de cálculo y tickets viejos. Nadie ve que una misma persona puede crear y aprobar un pago hasta que ocurre.
Mapea tus roles
Todo se lee y se calcula en esta pestaña. Nada de lo que pegas se sube ni se guarda.
Un rol por línea, por ejemplo support: tickets:*, customers:read. Un ! delante significa denegar. También sirve un CSV con columnas role, resource, action, effect.
Opcional. Una persona por línea, por ejemplo deniz: finance_clerk, finance_lead. Sin esta lista, cada rol se revisa por separado.
Aún no hay mapa
Pega tus roles o carga la empresa de ejemplo para ver todos los tipos de riesgo.
Tus listas nunca salen de esta página. El informe solo contiene nombres de roles, recursos y hallazgos.
Qué significa cada riesgo
Las comprobaciones combinadas miran a las personas si añades su lista, y a cada rol por separado si no.
Separación de funciones Alto
La misma persona puede crear y aprobar, o solicitar y publicar, en un mismo recurso. Aquí empieza la mayoría del fraude y muchas caídas.
Administrador total Alto
Un rol con *:* puede hacerlo todo, incluso lo que aún no existe. Dáselo al menor número de personas posible.
Escalada de privilegios Alto
Quien puede asignar roles o editar permisos puede darse cualquier otra cosa, así que en la práctica tiene acceso a todo.
Manipulación del registro de auditoría Alto
Borrar o editar registros permite ocultar lo que uno hizo. Los registros de auditoría solo deberían admitir añadidos.
Comodín sobre datos sensibles Medio
resource:* en secretos, pagos o datos personales incluye en silencio también todas las acciones futuras.
Exportación de datos personales Medio
Exportar o descargar en bloque datos de clientes es el camino más común hacia una fuga que hay que notificar.
Choque entre permitir y denegar Medio
Un rol permite y deniega la misma acción. Gana la denegación, el permiso queda como peso muerto y confunde a quien revisa.
Denegación sin efecto Bajo
Una línea de denegación que no bloquea nada porque ningún permiso llegó a ella. No hace daño, pero oculta la intención real.
Permiso duplicado Bajo
El mismo permiso aparece dos veces. Las listas limpias se revisan mejor.
Rol desconocido Bajo
Alguien tiene un rol sin permisos. Suele ser una errata y a veces un rol borrado solo en un sistema.
Rol sin usar Bajo
Un rol con permisos que nadie tiene. Los roles viejos acaban reasignándose por error.
Formatos que entiende
Puedes mezclarlos. Los nombres no distinguen mayúsculas y los espacios se convierten en guiones bajos.
Líneas de rol
support: tickets:*, customers:read, !customers:deleteEl rol, dos puntos y luego los permisos separados por comas. También vale resource.action.
Exportación CSV
role,resource,action,effect
ops,servers,restart,allowComa, punto y coma o tabulador. La columna effect es opcional y por defecto significa permitir.
Personas
deniz: finance_clerk, finance_leadLa persona, dos puntos y los roles. O dos columnas, persona y rol, con una fila por asignación.
Cómo se usa
Pega los roles
Expórtalos desde tu panel de administración o escríbelos a mano. Usa * para todos los recursos o todas las acciones.
Añade las personas
Opcional pero muy útil. Los riesgos de tener dos roles a la vez solo aparecen con la lista de personas.
Lee los hallazgos
Primero los riesgos altos. Cada uno nombra a la persona, los roles y las líneas exactas que lo causan.
Revisa la matriz y las rutas
Cambia entre roles y personas, pregunta quién puede hacer una acción concreta y sigue cada ruta.
Guarda la evidencia
Descarga la matriz en CSV y copia el informe con su SHA 256 en el ticket de revisión de accesos.
Conviene saber
- Modela permisos, denegaciones y comodines. No evalúa condiciones como la hora, rangos de IP o quién es dueño del recurso.
- No sigue la herencia de roles de forma automática. Escribe los permisos heredados en el rol hijo.
- Muestra lo que dicen tus listas, no lo que aplica tu sistema. Compáralo con una exportación real.
- Las reglas de riesgo usan nombres habituales como approve, export y audit. Si usas nombres poco comunes, quizá tengas que renombrarlos.
Preguntas
¿Puedo pegar una exportación de mi proveedor de identidad?
Sí, si puedes dejarla en filas de rol, recurso y acción. La mayoría de las exportaciones CSV de paneles de administración sirven tras quitar las columnas sobrantes.
¿Por qué gana la denegación?
Así funcionan casi todos los sistemas de acceso. Una sola denegación bloquea la acción, da igual cuántos roles la permitan.
¿Cambia algo en mis sistemas?
No. Solo lee lo que pegas. La aplicación real sigue en tu control de accesos de verdad.
¿Qué hago con un riesgo alto?
Divide el rol, quita a la persona uno de los dos roles o añade una denegación explícita y anota quién aprobó la excepción.