Vulnérabilité de logique métier

Les vulnérabilités de logique métier comptent parmi les bugs les plus précieux en sécurité, car elles ne peuvent pas être trouvées par les outils seuls. Elles vivent dans l'écart entre ce que les développeurs supposaient que les utilisateurs feraient et ce que les utilisateurs peuvent réellement faire. La requête semble normale, le serveur l'accepte, et la règle métier se brise discrètement.

Pourquoi c'est important

La plupart des tests de sécurité automatisés traquent les entrées malformées : un payload d'injection, une balise de script, une séquence de path traversal. Les failles de logique métier n'ont rien de tout cela. Chaque requête est bien formée et valide ; la vulnérabilité réside dans la séquence, le contexte ou l'hypothèse de confiance qui la sous-tend. C'est précisément pour cela qu'elles échappent aux scanners et qu'elles figurent systématiquement parmi les découvertes les mieux rémunérées en bug bounty et en test de sécurité d'API.

Pour un débutant, c'est une bonne nouvelle. Les failles de logique récompensent la compréhension plus que la maîtrise de l'exploitation. Si vous parvenez à saisir comment une application est censée fonctionner, vous pouvez souvent trouver l'endroit où ses règles peuvent être enfreintes, sans aucun payload avancé.

Un exemple classique

Une API de paiement envoie le prix de l'article depuis le client :

{
"item": "laptop",
"quantity": 1,
"price": 500
}

Un chasseur change price en 2 et renvoie la requête. Le serveur l'accepte, parce que le développeur a supposé que le prix viendrait toujours du frontend de confiance. Aucune injection, aucun payload spécial, juste une faille de logique à impact critique. C'est exactement le type de bug qu'un débutant peut trouver lorsqu'il comprend l'application au lieu de se battre contre une stack technique inconnue.

Types courants

Pourquoi les scanners passent à côté

Un scanner peut détecter un en-tête de sécurité manquant, mais il ne peut pas connaître vos règles métier. Seul un humain qui comprend le workflow peut voir qu'un flux d'invitation vous permet de rejoindre l'organisation de quelqu'un d'autre, ou qu'un coupon peut être appliqué à l'infini.

Comme chaque requête est légitime prise individuellement, il n'y a aucun payload malformé qu'un outil puisse signaler. La faille ne devient visible que lorsqu'un humain raisonne sur l'intention.

Comment les trouver

Cartographiez chaque workflow, puis attaquez les hypothèses qui le sous-tendent : modifiez des valeurs que le client ne devrait pas contrôler, envoyez les étapes dans le désordre, répétez des actions à usage unique et utilisez deux comptes pour tester le comportement inter-utilisateurs.

Les vulnérabilités de logique métier sont l'endroit où le raisonnement humain bat encore nettement l'automatisation, ce qui explique précisément pourquoi elles restent si précieuses, et si accessibles aux débutants, en 2026.