L'infrastruttura backend condivisa è un livello lato server riutilizzato che serve più di un'app, portale, flusso di lavoro o strumento di amministrazione. Invece di far sì che ogni superficie applichi la propria logica di accesso, più front end possono chiamare la stessa API, database o servizio. Questo design è efficiente, ma significa anche che un singolo errore di autorizzazione può influire su molti punti contemporaneamente.
Nella sicurezza informatica, questo è importante perché i controlli sugli oggetti a livello di oggetto compromessi possono estendersi ai desk di supporto, ai portali clienti, ai job di esportazione e alle console interne. Se il backend si fida di un ID record ma non verifica la proprietà o l'ambito del tenant, un utente autenticato può accedere a dati appartenenti a un altro account. Chi difende dovrebbe trattare ogni richiesta come non affidabile, applicare l'autorizzazione lato server su ogni percorso del servizio e testare eventuali incoerenze nei controlli dei permessi tra componenti condivisi. Il monitoraggio di spostamenti insoliti tra oggetti, ricerche cross-account o accessi ripetuti a ID adiacenti può aiutare a individuare l'abuso di un backend condiviso prima che diventi un ampio incidente di privacy.