Definitie: Rollen en rechten is een manier om in software te regelen wie wat mag zien en doen, door rechten niet aan losse personen maar aan rollen te koppelen. Een gebruiker krijgt een of meer rollen, zoals beheerder, medewerker of klant, en erft daarmee precies de rechten die bij die rol horen; in het Engels heet dit role-based access control (RBAC).
In het kort
- Een rol bundelt rechten die bij een taak horen. Een gebruiker krijgt rollen, geen losse rechten.
- Autorisatie (wat mag je) is iets anders dan authenticatie (wie ben je). Eerst inloggen, daarna bepalen rollen wat je ziet.
- Het principe van minimale rechten is de kern: iedereen krijgt alleen wat nodig is voor het eigen werk.
- In een klantportaal of interne tool bepalen rollen en rechten ook welke gegevens van welke klant zichtbaar zijn.
Wat zijn rollen en rechten in een applicatie?
Rollen en rechten vormen samen het autorisatiemodel van een applicatie. Een recht is een concrete handeling op een onderdeel, bijvoorbeeld “facturen bekijken”, “offerte goedkeuren” of “gebruikers toevoegen”. Een rol is een verzameling van die rechten, met een naam die aansluit bij de praktijk: planner, accountmanager, klant, beheerder.
Het voordeel zit in het beheer. Komt er een nieuwe collega bij, dan wijs je een rol toe en is de toegang in één keer goed. Verandert iemand van functie, dan wissel je de rol. Wil je dat alle planners voortaan ook de projectkosten zien, dan pas je de rol aan en geldt het voor iedereen met die rol.
Zonder rollen krijg je toegang per persoon. Na een jaar weet dan niemand meer waarom iemand iets mag.
Autorisatie en authenticatie: wat is het verschil?
Deze twee termen worden vaak door elkaar gebruikt, maar ze beantwoorden een andere vraag.
| Begrip | Vraag | Voorbeeld |
|---|---|---|
| Authenticatie | Wie ben je? | Inloggen met e-mail en wachtwoord, een code via een app of single sign-on |
| Autorisatie | Wat mag je? | Een klant ziet alleen eigen orders, een beheerder ziet alle klanten |
| Rollen en rechten | Hoe regel je dat overzichtelijk? | Rechten zijn gebundeld in rollen die je aan gebruikers toewijst |
Een sterke inlog zonder goed autorisatiemodel blijft riskant.
Welke modellen zijn er naast RBAC?
RBAC is het bekendste model, maar niet het enige. De keuze hangt af van hoe fijnmazig de regels moeten zijn.
| Model | Hoe het werkt | Past bij |
|---|---|---|
| Toegang per gebruiker | Rechten direct aan personen gekoppeld | Heel kleine tools met een handvol gebruikers |
| RBAC | Rechten via rollen | De meeste bedrijfsapplicaties en portalen |
| ABAC | Regels op basis van kenmerken, zoals afdeling, locatie, tijd of status van een dossier | Situaties waarin dezelfde rol per situatie iets anders mag |
| Eigendom en team | Je ziet records die van jou of je team zijn | CRM, projecttools en klantportalen |
In de praktijk worden modellen vaak gecombineerd. Een accountmanager heeft de rol “verkoop” en ziet daarmee offertes, maar alleen van klanten waarvan hij eigenaar is. De rol bepaalt het soort handeling, het eigendom bepaalt welke records.
Hoe ontwerp je rollen en rechten?
Een goed rollenmodel begint niet in de software, maar bij het werk. Deze stappen helpen:
- Breng de taken in kaart. Welke handelingen gebeuren er in het proces, van aanvraag tot afronding?
- Groepeer naar functie. Welke mensen doen hetzelfde soort werk? Dat zijn je kandidaat-rollen.
- Leg per rol de rechten vast in een rollenmatrix: rijen met rollen, kolommen met onderdelen en per cel bekijken, toevoegen, wijzigen of verwijderen.
- Bepaal de scope. Gelden rechten voor alle gegevens, voor de eigen afdeling, of alleen voor eigen records?
- Regel functiescheiding. Wie een betaling aanmaakt, keurt die liever niet zelf goed.
- Test met echte accounts. Log in als elke rol en loop de belangrijkste schermen en zoekfuncties door.
- Plan onderhoud. Spreek af wie rollen toewijst en hoe vaak je controleert of toegang nog klopt.
Een eenvoudige rollenmatrix voor een klantportaal kan er zo uitzien:
| Onderdeel | Klant | Medewerker | Beheerder |
|---|---|---|---|
| Eigen projecten | Bekijken | Bekijken en wijzigen | Alles |
| Documenten | Downloaden en uploaden | Alles binnen eigen klanten | Alles |
| Facturen | Bekijken | Bekijken | Alles |
| Gebruikersbeheer | Geen | Geen | Alles |
| Instellingen | Geen | Geen | Alles |
Veelgemaakte fouten bij rollen en rechten
- Te veel rollen. Voor elke uitzondering een nieuwe rol maken leidt tot tientallen rollen die niemand meer overziet.
- Alleen het scherm afschermen. Een knop verbergen is geen beveiliging. De controle moet ook op de server gebeuren, bij elke aanvraag en in elke API.
- Rechten pas aan het eind toevoegen. Achteraf inbouwen raakt bijna elk scherm en elke query. Neem rollen mee in het eerste ontwerp.
- Accounts niet opruimen. Vertrekt een medewerker of stopt een klant, dan moet de toegang direct vervallen.
Waarom zijn rollen en rechten belangrijk voor privacy?
De AVG vraagt dat persoonsgegevens alleen toegankelijk zijn voor wie ze nodig heeft. Een helder rollenmodel is daarvoor het praktische middel. Het maakt ook aantoonbaar wie toegang had, wat helpt bij audits en bij vragen van klanten over hoe je met hun gegevens omgaat.
In applicaties met meerdere klanten, zoals een portaal of SaaS-product, is de scheiding tussen klanten het belangrijkste onderdeel. Een fout in een filter kan betekenen dat de ene klant gegevens van de andere ziet. Daarom horen controles op klantniveau diep in de applicatie, en niet alleen in de weergave.
Wat betekent dit voor jouw project?
Bij TaskZen, een klant- en werkomgeving met klantberichten, een websiteleadwidget met opslag en opvolging en rapportage, draait de bouwles om drie vragen: wie ziet een bericht, wie moet reageren en wat vraagt aandacht? Dat zijn in de kern vragen over rollen en rechten. Ze bepalen welke informatie bij welke persoon terechtkomt.
Bij Marketooo, een eigen platform in actieve ontwikkeling rond Meta Ads en campagnes, geldt hetzelfde op een andere manier. Ik vind dat verantwoordelijkheden zichtbaar moeten zijn voordat een systeem iets uitvoert: het juiste account, de juiste campagne en een controleerbaar besluit.
Daarom kijk ik bij een nieuw proces eerst analytisch: wat komt binnen, wie moet ermee verder en welke informatie heeft die persoon nodig? Het antwoord daarop is meestal al een eerste rollenmatrix. In de blauwdruk leg ik die vast, zodat de eerste versie de juiste gebruikers en rollen heeft.
Vraag? Stuur me wie er met je applicatie gaan werken en wat elke groep moet kunnen zien of doen. Dan bepalen we samen de logische eerste stap. Lees ook hoe ik een maatwerk webapplicatie opzet.
Veelgestelde vragen over rollen en rechten
Wat is het verschil tussen een rol en een recht?
Een recht is een concrete handeling op een onderdeel, zoals facturen bekijken of gebruikers toevoegen. Een rol is een verzameling rechten die bij een taak of functie hoort. Gebruikers krijgen rollen, en daarmee de bijbehorende rechten.
Wat is autorisatie?
Autorisatie is het bepalen wat een ingelogde gebruiker mag zien en doen in een systeem. Het volgt op authenticatie, waarbij wordt vastgesteld wie iemand is. Rollen en rechten zijn een veelgebruikte manier om autorisatie te regelen.
Wat betekent RBAC?
RBAC staat voor role-based access control, in het Nederlands rolgebaseerde toegangscontrole. Toegang wordt daarbij geregeld via rollen in plaats van per persoon. Het is het meest gebruikte model in bedrijfsapplicaties, vaak aangevuld met regels voor eigendom of kenmerken.
Verwante termen
Klantportaal · Privacy by design · Interne tool · Backoffice-systeem · Functionele eisen · Laravel
← Terug naar de kennisbank