Fallos de lógica de negocio: cuando la aplicación hace lo que no debe

Qué es

Un fallo de lógica de negocio no es un error técnico clásico como una inyección: el código hace exactamente lo que se programó, pero lo que se programó permite algo que no debería. Aplicar el mismo cupón diez veces, comprar con un precio negativo o saltarse el pago y llegar a la confirmación del pedido.

Por eso ningún escáner automático los detecta bien: hace falta entender cómo debería funcionar la aplicación y probar qué pasa al salirse del camino previsto.

Ejemplos típicos

• Cantidades y precios: números negativos, decimales, cero o valores enormes que provocan desbordamientos.
• Pasos de un proceso: ir directamente al último paso de un registro, una compra o una verificación sin pasar por los anteriores.
• Condiciones de carrera (race conditions): enviar la misma petición muchas veces a la vez para canjear un saldo, un cupón o una invitación más de una vez.
• Límites que solo se comprueban en el cliente: el botón está desactivado, pero la API acepta la petición.
• Cambios de estado inconsistentes: cancelar un pedido y seguir usando lo comprado, o bajar de plan y conservar las funciones de pago.

Cómo se busca

1. Antes de probar nada, entiende el negocio: qué cuesta dinero, qué está limitado y qué depende de un paso anterior.
2. Para cada regla, pregúntate qué pasa si la rompes: si repites, saltas, cambias el orden o pones valores extremos.
3. Para las condiciones de carrera, envía la misma petición en paralelo. Herramientas como el single-packet attack de Burp Suite hacen que lleguen al servidor casi a la vez.
4. Compara lo que la interfaz impide con lo que la API acepta.

Cómo se evita

• Validar todas las reglas en el servidor: cantidades, precios, límites y orden de los pasos.
• Guardar el estado del proceso en el servidor en lugar de confiar en lo que envía el cliente.
• Operaciones atómicas y bloqueos en la base de datos para los recursos que no se pueden gastar dos veces.
• Pensar en casos de abuso al diseñar cada función, no solo en el uso normal.

Al reportarlo

Explica la regla que debería cumplirse, cómo se rompe y el efecto concreto (dinero, acceso, límites). Si es una condición de carrera, indica cuántas peticiones necesitaste y con qué frecuencia se reproduce.