Yetki kaba değil kılcal olunca ekip ferahlar

Ajans ve holdinglerde asıl sızıntı hikâyesi şöyle başlar: kurulum günü “yönetici her şeyi görsün, yoksa iş yürümez” denir. Üç ay sonra stajyer müşteri klasörünü açar, rakip markanın brifini görür, ya da finans dosyası genel Slack’e düşer. Kimse çalmamıştır. Rol fazla geniştir. “Admin” bir kişi değil, bir alışkanlık olmuştur: her takılan işte yetki açılır, hiç kapanmaz.

Kaba yetki önce hızlı görünür. Destek talebi “bana da admin ver” ile kapanır. Sonra kimsenin haritası kalmaz: bu klasörü kim görür, bu listeyi kim taşır, bu raporu kim export eder. Denetim günü Excel yetki matrisi çıkarılır, gerçeği yansıtmaz çünkü paneldeki grant’ler altı aydır sapmıştır. Ontra’da cevap kayıtta durur. “Bu klasörü kim görebilir?” proje ve liste grant’lerinden okunur. Çeyreklik export o anki gerçeği basar.

Birinci katman roldür. Rol, kişinin sistemde ne yapabileceğini söyler: görev yazma, silme, doküman oluşturma, ekip daveti, rapor okuma, API anahtarı, tenant ayarı. Ontra izin katalogu buna göre ayrılır — `tasks.read`, `tasks.create`, `docs.update`, `roles.manage` gibi anahtarlar. “Yönetici” sihirli bir kutu değildir; bir izin listesidir. İhtiyacınız olmayan silme ve davet yetkisini varsayılan vermeyin.

İkinci katman kaynaktır: hangi proje, hangi klasör. Aynı “editör” rolü iki projede farklı grant ile durabilir. Tasarımcı marka A’yı görür, marka B’yi görmez. Üçüncü katman listedir. Sprint listesini gören kişi arşiv kuyruğunu görmek zorunda değildir. `tasks.assigned_only` ile üye yalnız kendine atanan kartları görür. Saha teknisyeni tüm projeyi gezmez; ofis planı kilometre taşını sahaya dayatmaz.

Üç katmanı tek “admin”e yığmak kurulumu kısaltır, denetimi öldürür. Tersine, her kart için ayrı rol icat etmek de şişirir. Beş rol yeter: sahip / yönetici, proje yöneticisi, üye, görüntüleyici, dış misafir. İnce ayar kaynak grant’inde yapılır, rol enflasyonunda değil. Rol değişince panel oturumu yenilemeden yeni yetkiyi uygular. “Sabah admin’di, öğlen görüntüleyici” senaryosu log’da görünür.

Sonradan düzeltmek unutulur. Davet bağlantısı yedi gün geçerlidir; rol o anda atanır. Ontra davet formu rolü zorunlu tutar. “Şimdilik admin, sonra bakarız” cümlesi altı ay sonra hâlâ admin üretir. Görüntüleyici de koltuktur; gizli ücretsiz hesap yoktur. Staj bitince koltuğu kapatırsınız, fiyat o ay düşer — ama kapatılmazsa yetki de durur.

Dış misafir için workspace daveti şart değildir. Taslak göstermek şifreli doküman bağlantısıyla olur; süre bitince kapı kapanır. Müşteri temsilcisi görüntüleyici olabilir, dosyayı indirmez, dışarı aktarmaz. Birçok araçta “görüntüleyici” hâlâ yorum yazar veya export eder. Ontra’da oluşturma, silme ve dış paylaşım düğmesi gizlenir. İsim ile gerçek yetki çelişmesin.

Yetki tartışması çoğu zaman düğmelerde kaybedilir. Ekranda “yeni görev” duruyorsa kişi basar. Ontra görüntüleyicide oluşturma ve silmeyi gizler; dış paylaşım kapalı kalır. Müşteri taslağı görür, brifi indirip başka stüdyoya taşımaz. Bu, güvensizlik değil, sözleşme sınırıdır. Ajans workspace’inde rakip markalar aynı stüdyoda durabilir; tasarımcı yalnız atandığı markayı görür.

Yönetici raporu toplamı görür, dosya ağacını değil. Holding “bu müşterinin eforu” sorusunu ikinci hesaba geçmeden sorar; üye yanlış müşteri klasörüne düşmez. Firma kaydı projeyi böler, girişi bir bırakır. İkinci workspace açmak davet kaosudur: üç şifre, hiç toplanmayan rapor, kapanmayan admin’ler.

Her çeyrek şu üç soruyu sorun: bu klasörü kim görür, bu rol hâlâ gerekli mi, bu koltuk hâlâ bir kişiye mi ait? Cevap Ontra grant’lerinden okunur. Excel matrisi güncellenmez; kayıt zaten grant’tir. Kullanılmayan davet, kapanmamış staj koltuğu ve “test admin” hesapları bu turda düşer. Güvenlik ürünü ayrı bir araç değildir; yetki kaydının bakımıdır.

API anahtarları aynı disiplinin uzantısıdır. Tam yetkili gizli değer sızınca workspace düşer. Kapsamı dar tutun, değeri bir kez kopyalayın, kullanılmayanı iptal edin. Dış zamanlayıcı yalnız görev yazacaksa silme ve üye daveti vermeyin. CI için ayrı, isimlendirilmiş anahtar şarttır. “Test” diye bırakılan anahtar altı ay sonra production’da çalışır.

Ontra izinleri grupludur: görevler, projeler, dokümanlar, hedefler, formlar, raporlar, ekip, yönetim. `tasks.read` görmektir, `tasks.create` yazmaktır, `tasks.status` taşımaktır, `tasks.delete` silmektir, `tasks.assigned_only` yalnız kendi kartıdır. Bir saha teknisyenine silme ve tüm projeleri görme vermeyin. Bir müşteri temsilcisine `docs.read` yeter, `docs.delete` gerekmez. Bir staja `users.write` asla verilmez.

Yazma kısayolları vardır: `tasks.write` create+update+status açar. Bunu “her şeyi ver” sanmayın. Delete ayrıdır. `scope.all` atama sınırını kaldırır; holding admin’i için düşünülmüştür, üye için değil. `reports.read` raporu açar, spek ağacını açmaz. Yönetim toplamı ile içerik ağacını ayırın. Bu ayrım ajans gizliliğinin temelidir.

Rol değişince panel hemen uygular. “Sabah projeyi görüyordu, öğlen görmüyor” senaryosu log’dadır. Oturum yenileme beklemeyin. Çeyreklik turda her rolü şu cümleyle sınayın: bu izin bu iş için şart mı? Şart değilse düşün. Birikmiş izin, birikmiş sızıntı yüzeyidir. Beş rol yeter: sahip, proje yöneticisi, üye, görüntüleyici, dış misafir.

Marka A ve marka B aynı stüdyodadır. Tasarımcı yalnız A’ya atanır. Grant proje A + klasör A’dır. B’nin brifi listede görünmez, aramada çıkmaz, haritada pin olarak durmaz. Yönetici efor toplamını görür, B’nin spek başlığını görmez. Stajyer görüntüleyicidir; oluşturma düğmesi yoktur, dış paylaşım kapalıdır. “Bir bakıversin” diye admin açmak bu modeli tek gecede yıkar.

Pitch aşamasında workspace daveti yok. Şifreli bağlantı, süre, iptal. Kazanınca proje açılır, grant yazılır. Kaybedince bağlantı düşer, arşiv diğer markaya sızmaz. Bu kapı Drive “herkesle link” alışkanlığının tersidir ve ajans sözleşmesinin teknik karşılığıdır.

Excel matrisi değil, o anki grant listesi. Klasör, rol, koltuk, dış bağlantı, API anahtarı. Dört soru: kim görür, hâlâ gerekli mi, koltuk bir kişiye mi ait, bağlantı hâlâ açık mı? Cevap kayıtta durur. “Test admin” ve kapanmamış staj bu turda düşer. Güvenlik ayrı bir ürün değildir; yetki kaydının bakımıdır. Bakılmayan grant, açık kapıdır.

Sabah stajyer davet edilir. Form rolü zorunlu tutar: görüntüleyici. Admin kısayolu yoktur. Marka A klasörüne grant yazılır, marka B yazılmaz. Öğleden sonra stajyer aramada B brifini bulamaz, haritada pin görmez, oluşturma düğmesini görmez. “Bir bakıversin” diye admin açmak bu günü tek hareketle yıkar. Akşam log’da davet, rol ve grant durur. Denetim günü Excel gerekmez.

Öğle: müşteri A taslak ister. Workspace daveti açılmaz. Şifreli bağlantı iki günlüğüne üretilir, süre bitince kapı kapanır. Müşteri görüntüleyicidir, brifi indirip stüdyo C’ye taşımaz. Tasarımcı yalnız A’yı görür. Yönetici efor toplamını açar, B’nin spek başlığını görmez. Bu üç bakış aynı paneldir, üç workspace değildir. Koltuk workspace’e aittir; A için ayrı koltuk alınmaz.

İkindi: bir kişi “projeyi göremiyorum” der. Çözüm admin açmak değildir. Grant eksiktir ya da `tasks.assigned_only` beklenenden dar çalışıyordur. Rol değişince panel hemen uygular. “Sabah görüyordu, öğlen görmüyor” log’dadır. Akşam çeyrek turu için not: bu klasörü kim görür, bu koltuk bir kişiye mi ait, bu dış bağlantı açık mı, bu test admin duruyor mu? Dört soru güvenlik ürününün yerini tutar. Bakılmayan grant açık kapıdır.

İzin katalogunu ezberlemeyin, işe göre seçin. Saha: read + status + assigned_only. Editör: create/update, delete yok. Müşteri: docs.read, paylaşım kapalı. Proje yöneticisi: proje yazma, üye daveti, rapor. Sahip: roller ve API. `scope.all` holding admin’inedir, üye için değil. `reports.read` spek ağacını açmaz. Yazma kısayolu silmeyi açmaz. Bu cümleler kurulumu yavaşlatır ve sızıntıyı keser. Hızlı olan “herkese admin”dir; pahalı olan da odur.

Birçok araçta “görüntüleyici” yine yorum yazar veya dışarı aktarır. Ontra’da oluşturma ve silme düğmesi gizlenir; dış paylaşım da kapalı kalır. Müşteri temsilcisi taslağı görür, dosyayı indirmez.

Rol değişince panel oturumu yenilemeden yeni yetkiyi uygular. “Sabah admin’di, öğlen görüntüleyici” senaryosu log’da görünür; gece yarısı sızıntısı için ayrı bir araç gerekmez.

“Bu klasörü kim görebilir?” cevabı Ontra’da proje ve liste grant’lerinden okunur. Excel yetki matrisini güncellemeyin; kayıt zaten grant’tir. Çeyreklik denetimde export, o anki gerçeği basar.