Sécurité web : contrôle d'accès et la facture du voisin

Abidjan, mardi matin. Akwaba Market tourne depuis le week-end, et une cliente vient d'écrire à Madame Koné : hier soir, son fils regardait sa facture, a changé un chiffre dans l'adresse, et a vu celle d'un autre client, avec son nom, son téléphone et son adresse. Vous allez reproduire le problème sur des comptes de test, remonter à la ligne de code qui en est la cause (l'application sert une facture sans vérifier à qui elle appartient), corriger côté serveur, puis vérifier que chaque client ne voit plus que ses factures, que l'équipe les voit toujours toutes, et lire dans les journaux l'étendue de l'incident. C'est la faille la plus répandue des applications web, celle qu'un développeur débutant écrit sans y penser : confondre « être connecté » avec « avoir le droit de voir ceci ».