Príklad
Používateľ si predplatí film v online platforme. Film sa prehrá bez problémov, ale zároveň si otvorí vývojársku konzolu v prehliadači a skúsi nájsť URL na video súbor.
Ak sa mu podarí súbor stiahnuť priamo, systém síce funguje pre bežného používateľa, ale z pohľadu bezpečnosti zlyhal.
V praxi to znamená stratu príjmov, porušenie licenčných podmienok a potenciálne právne problémy.
Ako otestovať
- Pokusy o priame stiahnutie obsahu
- Skús získať priamy odkaz na súbor (video, PDF, audio) cez developer tools (Network tab).
- Over, či URL funguje aj bez prihlásenia alebo po expirácii session.
- Otestuj opakované použitie URL (reuse tokenu).
- Skontroluj, či sa používajú časovo obmedzené alebo jednorazové odkazy.
- Autorizácia a prístupové práva
- Over, že obsah je dostupný len pre oprávneného používateľa (napr. predplatiteľ).
- Testuj prístup po zmene roly alebo odhlásení.
- Skontroluj rozdiel medzi stavmi 401 (neprihlásený) a 403 (zakázaný prístup).
- Otestuj prístup cez API bez platného tokenu.
- Ochrana streamovaného obsahu (DRM)
- Sleduj, či sa obsah streamuje po častiach (chunky) namiesto jedného súboru.
- Over použitie DRM mechanizmov (napr. šifrovanie segmentov).
- Skús zachytiť stream a rekonštruovať súbor – nemalo by to byť triviálne.
- Testuj správanie pri pokuse o prehrávanie mimo oficiálneho klienta.
- Pokusy o kopírovanie obsahu v UI
- Skús kopírovať text (napr. e-kniha) cez Ctrl+C, výber myšou alebo screenshot.
- Over, či sú implementované ochrany (napr. blokovanie výberu textu, watermark).
- Testuj správanie na rôznych zariadeniach (desktop vs. mobil).
- Skontroluj fallback – ochrany nesmú rozbiť UX pre legitímne použitie.
- Manipulácia s požiadavkami
- Upraviť requesty v nástrojoch ako Postman alebo Burp Suite.
- Skús meniť parametre (ID obsahu, user ID).
- Over, či systém validuje, že používateľ má právo na konkrétny obsah.
- Testuj replay útoky (opakované odoslanie rovnakého requestu).
- Offline a cache scenáre
- Otestuj, či sa obsah neukladá nešifrovane do cache alebo lokálneho úložiska.
- Skontroluj správanie po odpojení od internetu.
- Over, či expirovaný obsah nie je stále dostupný offline.
- Testuj vymazanie cache a opätovný prístup.
- Logovanie a detekcia podozrivého správania
- Over, či systém zaznamenáva pokusy o neoprávnené prístupy.
- Sleduj logy: opakované requesty, scraping, hromadné sťahovanie.
- Testuj reakciu systému – blokovanie IP, rate limiting, CAPTCHA.
- Over, či sú incidenty dohľadateľné pre audit.
- Výnimočné a hraničné scenáre
- Pokus o sťahovanie pri expirácii tokenu počas prenosu.
- Paralelné sťahovanie viacerých súborov jedným používateľom.
- Zmena oprávnení počas prehrávania (napr. zrušenie predplatného).
- Testovanie na pomalom pripojení – či sa ochrany neobchádzajú.