L'application officielle du Vatican, Click To Pray, promue personnellement par le pape François en janvier 2019, a laissé fuiter pendant des mois les noms, adresses e-mail, dates de naissance et détails de compte de plus de 700 000 utilisateurs, en raison de l'une des erreurs d'API les plus élémentaires qui soient. La faille a désormais été corrigée, mais seulement après que le hacker éthique BobDaHacker a rendu ses découvertes publiques le 24 juillet 2026, suite à sept mois d'e-mails restés sans réponse de la part des contacts du Vatican.
Obtenez 1 mois d'abonnement GTA+ avec votre précommande.
Précommandez GTA 6 dès maintenant
Comment un identifiant séquentiel est devenu un passe-partout
Le problème est le suivant : la vulnérabilité en elle-même n'avait rien de sophistiqué. Lorsqu'un utilisateur s'inscrivait sur Click To Pray, le backend de l'application lui attribuait un identifiant numérique séquentiel. Utilisateur un, utilisateur deux, utilisateur trois, et ainsi de suite, bien au-delà de 700 000. Le souci était que le point de terminaison de l'API https://api.clicktopray.org/user/users/[ID] ne nécessitait aucune authentification. Il suffisait d'entrer n'importe quel numéro pour récupérer le profil complet de l'utilisateur correspondant.
Aucune vérification d'autorisation. Aucune validation de propriété. Il suffisait d'incrémenter l'identifiant pour collecter les données de quelqu'un d'autre. Les champs exposés comprenaient le prénom, le nom, l'adresse e-mail, le pays, la date de naissance (stockée dans le backend sous le nom de champ borned_date, car apparemment, le latin ecclésiastique n'est pas la seule langue qui pose problème ici), le rôle du compte et le statut de suppression du compte.
Les en-têtes de réponse indiquaient également que le serveur utilisait Express, le framework web pour Node.js. Comme l'a souligné BobDaHacker, le Vatican faisait tourner son infrastructure de prière sur le framework que l'on apprend lors de la deuxième semaine d'un bootcamp Node.js.
Sept mois de silence avant la correction
BobDaHacker a découvert la faille début janvier 2026 et a envoyé des e-mails à neuf contacts distincts liés au Vatican et à Click To Pray le 3 janvier. Aucun n'a répondu. La vulnérabilité est restée ouverte pendant toute la durée de ce silence, sans aucune prise en charge.
La situation n'a évolué qu'après que BobDaHacker a présenté ses conclusions à un journaliste et publié l'article de blog du 24 juillet. Peu après, le point de terminaison a cessé discrètement de renvoyer les données des autres utilisateurs. Aucune reconnaissance publique, aucune divulgation, aucun mot pour le chercheur qui avait signalé le problème. Le correctif est désormais en ligne : demander votre propre identifiant utilisateur renvoie toujours votre profil, tandis que demander l'identifiant d'un autre utilisateur ne renvoie que ses informations publiques.
Les e-mails légitimes de Click To Pray généraient également des avertissements d'authentification dans les clients de messagerie, étant signalés comme du phishing potentiel avant le correctif. Les e-mails réels de l'application se comportaient déjà comme ceux qu'un acteur malveillant enverrait.
Pourquoi ce jeu de données était particulièrement dangereux
Les personnes utilisant une application de prière approuvée par le pape appartiennent à une démographie plus âgée et moins expérimentée techniquement. L'évaluation de BobDaHacker était directe : ces données représentaient une mine d'or pour le phishing. Un attaquant ayant accès à 700 000 noms, e-mails et pays vérifiés, tous associés à une institution religieuse de haute confiance, pourrait élaborer des messages ciblés convaincants auxquels une grande partie des destinataires réagirait sans hésiter.
Le scénario s'écrit tout seul. Un e-mail réclamant une attention urgente de la part du Saint-Père, avec un domaine proche du Vatican et le nom correct du destinataire, aurait un taux de clic extrêmement élevé auprès de cette base d'utilisateurs. Le fait que les e-mails légitimes de Click To Pray déclenchaient déjà des avertissements de spam a aggravé la situation. Les utilisateurs n'avaient aucun moyen fiable de distinguer une communication réelle d'une version usurpée.
Ce que la plupart des joueurs oublient dans ce genre d'histoires de sécurité, c'est que la simplicité technique de l'exploit est ce qu'il y a de plus accablant. Il ne s'agissait pas d'une faille zero-day. Ce n'était pas une attaque sophistiquée sur la chaîne d'approvisionnement. C'était une instruction if manquante sur une route API, le genre d'oubli qui est signalé lors d'une première revue de code dans n'importe quelle entreprise logicielle sérieuse.
Pour un contexte plus large sur la façon dont les systèmes numériques et leurs décisions d'infrastructure sous-jacentes peuvent avoir des conséquences inattendues, le guide de religion de Nova Roma est un bon rappel que, même dans les jeux, les systèmes que vous construisez sur des fondations fragiles ont tendance à s'effondrer au pire moment possible.
L'avant et l'après de l'API de Click To Pray
Le correctif est fonctionnel, mais la chronologie raconte la véritable histoire. Sept mois se sont écoulés entre la divulgation responsable et la remédiation. Le correctif n'est arrivé qu'après une pression publique, sans aucune communication avec le chercheur qui a identifié le problème. Pour une application comptant des centaines de milliers d'utilisateurs liés à l'une des institutions les plus reconnaissables au monde, ce temps de réponse constitue un échec grave des pratiques de sécurité de base.
Si vous voulez comprendre comment les systèmes de confiance et les décisions d'infrastructure interagissent de manière significative, notre hub de guides de jeux couvre de nombreux titres où l'architecture que vous choisissez au début détermine tout ce qui suit. Le Vatican, semble-t-il, aurait pu bénéficier d'une leçon similaire avant le lancement.
L'application Click To Pray reste disponible. Si vous êtes inscrit, vos données devraient désormais être protégées derrière la vérification d'autorisation qui aurait dû être présente dès le premier jour. Le guide de l'arbre technologique de Nova Roma mis à part, la leçon à retenir ici est simple : des identifiants séquentiels plus des points de terminaison API publics sans authentification équivalent à une brèche en attente de se produire, et 700 000 personnes ont payé le prix de cette équation pendant que la boîte de réception du Vatican restait silencieuse pendant six mois.
