Cobertura RBAC

Paso a paso

1. Entrá a Cobertura RBAC desde el menú de Organización.

2. Filtrá la tabla por módulo y abrí Ver detalle para leer, uno por uno, los procedimientos del módulo y el permiso que exige cada uno.

3. Usá Descargar informe para llevarte el estado completo en JSON y Recalcular para volver a pedirlo después de un despliegue.

Qué resuelve

El control de acceso se cablea en tres puntos: la ruta en el mapa de páginas, el procedimiento del servidor y el botón en la pantalla. Los tres se pueden olvidar, y cuando se olvida uno nadie se entera hasta que alguien ve algo que no le tocaba.

Esta pantalla es el inventario de esos olvidos. No consulta una lista escrita a mano: recorre el router real, el directorio de páginas, las rutas API y el catálogo de permisos, y los cruza con lo que hay en base. Lo que muestra es el estado del código desplegado, no una foto vieja.

Los cinco números de arriba

• Mutaciones sin permiso: procedimientos que escriben y solo exigen sesión. Es el número que no puede quedar en rojo.
• Rutas API sin sesión: handlers de src/pages/api que no pasan por el helper de sesión y no están declarados públicos por diseño.
• Páginas en deuda congelada: rutas que el arnés todavía tolera sin permiso. Esa lista solo se reduce.
• Permisos sin uso: códigos del catálogo que ningún procedimiento exige y ninguna página pide. O falta cablearlos, o sobran.
• Códigos ausentes en base: están en el catálogo del seed y no en la tabla de permisos. Se cierra corriendo el seed.

Cobertura por módulo

Cada fila cruza dos cosas distintas: los procedimientos del router agrupados por su primer segmento, y las páginas agrupadas por el módulo de su permiso. El estado sale de ahí: Crítico si queda alguna mutación abierta, Atención si la cobertura no llega al 100 % o hay páginas sin mapear, Cubierto si no queda nada de eso.

Las excepciones permanentes (el login, la agenda propia, los webhooks con token) no cuentan como deuda: son procedimientos que por definición no pueden pedir un permiso.

Avance del plan y roles

El avance de cada fase no es un porcentaje escrito a mano: se deriva de las mismas métricas. Una fase se cierra cuando su deuda llega a cero y el test que la congela sigue en verde.

El panel de roles cuenta permisos asignados y usuarios activos, y avisa cuando un módulo del catálogo solo lo cubren los roles de administración. Un módulo así se puede usar, pero solo entrando como administrador, que es justo lo que los roles por vertical vienen a evitar. Ahí conviene revisar roles y permisos.