Lexique · Sécurité des données
IDOR
Défaut de contrôle d'accès qui permet de consulter ou de modifier les données d'un autre utilisateur en changeant un simple identifiant (numéro de dossier, de compte, de facture) dans une adresse ou une requête : le serveur ne vérifie pas que l'objet demandé appartient à celui qui le demande.
Ce que ça change pour une organisation
Une faille IDOR (Insecure Direct Object Reference) survient lorsqu’une application expose dans une adresse ou une requête l’identifiant d’un objet interne, comme un dossier, une facture ou un document, et le restitue sans vérifier que l’utilisateur a le droit d’y accéder. Dans une API, l’OWASP parle de BOLA (Broken Object Level Authorization) et place ce défaut en tête de son Top 10 des API, dans l’édition de 2023. Il relève plus largement du contrôle d’accès défaillant, première catégorie du Top 10 de l’OWASP en 2021 comme en 2025.
La parade consiste à vérifier côté serveur, à chaque requête, que l’objet demandé appartient à l’utilisateur connecté ou que celui-ci dispose des droits nécessaires, de préférence au moyen d’un mécanisme d’autorisation commun à toute l’application plutôt que fonction par fonction. Selon l’OWASP, des identifiants aléatoires et non prédictibles compliquent l’énumération sans remplacer ce contrôle. Comme les outils d’analyse automatique ignorent à qui appartient chaque objet, la détection passe surtout par des tests menés avec plusieurs comptes de rôles différents.
L’enjeu tient à l’effet d’échelle : un seul point d’accès non contrôlé suffit à parcourir toute une base par simple incrémentation des numéros, ce qui transforme une erreur de développement en fuite massive.
Exemple
Le 18 juillet 2019, la formation restreinte de la CNIL a infligé une amende de 180 000 euros à un courtier en assurance automobile, sur le fondement de l’article 32 du RGPD. En modifiant le numéro d’identifiant figurant à la fin de l’adresse d’un espace client, il était possible d’accéder aux comptes d’autres clients et aux pièces qu’ils avaient déposées. La CNIL a relevé que cette manipulation ne demandait aucune compétence technique et que l’authentification et la gestion des droits d’accès n’avaient pas été prévues dès la conception, tout en tenant compte de la correction intervenue en vingt-quatre heures.
À ne pas confondre avec
- Un défaut d’authentification : l’identité de l’utilisateur peut être parfaitement vérifiée dans une faille IDOR ; c’est la vérification de ses droits sur l’objet demandé qui manque.
- L’aspiration de données : la collecte automatisée de données accessibles à tous ; une faille IDOR s’exploite souvent par script, mais le défaut tient à ce que le serveur livre des objets qui n’auraient jamais dû l’être.
