Cambiar de empresa sirve para navegar, pero no demuestra aislamiento. Una demo puede mostrar perfiles distintos sin autenticación o autorización real.
En producción el servidor debe verificar que el usuario o la clave pueden actuar sobre la empresa seleccionada. Un identificador enviado por el navegador es una selección, no un permiso.
OWASP recomienda incorporar el contexto de empresa a los controles de acceso y límites compartidos. Recomendamos probar solicitudes cruzadas y separar métricas, claves y planes. Los números de demo deben marcarse como ejemplos, no como consumo medido.