IDOR: quando trocar um número na URL expõe dados de outro cliente

IDOR (Insecure Direct Object Reference) é uma vulnerabilidade que acontece quando um sistema usa um identificador — normalmente visível na URL ou numa chamada de API — para acessar um recurso específico, sem verificar de forma adequada se quem está fazendo a requisição realmente tem permissão para acessar aquele recurso específico.

Um exemplo conceitual

Imagine uma URL como `/pedidos/1042`, mostrando os detalhes de um pedido para o cliente logado. Se o sistema verifica apenas se o usuário está autenticado, mas não verifica se o pedido 1042 pertence a ele, trocar esse número por `1043` pode expor o pedido de outra pessoa — nome, endereço, valor pago, tudo isso sem nenhuma técnica sofisticada de exploração.

Por que é tão recorrente mesmo sendo simples de entender

Justamente por parecer óbvio, muitos desenvolvedores assumem que "ninguém vai adivinhar o número certo" — mas isso não é uma proteção real, é apenas obscuridade, e sistemas automatizados testam sequências inteiras de identificadores em segundos.

Onde IDOR costuma aparecer

Visualização de pedidos, faturas, documentos enviados por upload, exportação de relatórios, e endpoints de API que retornam dados vinculados a um identificador — qualquer lugar onde um número ou identificador previsível é usado para buscar um recurso específico.

O que realmente previne IDOR

Verificação explícita, em cada requisição, de que o recurso solicitado pertence (ou está autorizado) ao usuário autenticado — não assumir que a dificuldade de adivinhar um identificador é, por si só, uma proteção suficiente.

Isso pode estar acontecendo agora na sua empresa

A Sovereign Tech faz diagnóstico técnico de segurança digital para empresas que não podem parar. Fale agora com a equipe pelo WhatsApp e entenda o que priorizar primeiro no seu sistema.