OWASP Top 10
OWASP · Top 10 OWASP · OWASP Top 10:2025 · Open Worldwide Application Security Project · risques des applications web
Classement de référence des dix catégories de risques les plus critiques pour les applications web, publié par la fondation OWASP et utilisé dans le monde entier pour sensibiliser les équipes et fixer des exigences.
En pratique
L’édition la plus récente est celle de 2025, qui succède à celle de 2021 : A01 Contrôle d’accès défaillant, A02 Mauvaise configuration de sécurité, A03 Défaillances de la chaîne d’approvisionnement logicielle, A04 Défaillances cryptographiques, A05 Injection, A06 Conception non sécurisée, A07 Défaillances d’authentification, A08 Défaillances d’intégrité des logiciels ou des données, A09 Défaillances de journalisation et d’alerte, A10 Mauvaise gestion des conditions exceptionnelles. C’est un outil de sensibilisation, pas une norme exhaustive : pour vérifier une application en détail, l’OWASP propose l’ASVS.
Exemple fictif : une entreprise qui commande un portail client exige dans le contrat que le prestataire couvre au minimum les dix catégories de l’OWASP Top 10:2025 et remette un rapport de test d’intrusion avant la mise en production.
Comment s’en protéger
- Former les développeurs aux dix catégories et à leurs parades.
- Intégrer des analyses SAST, DAST et SCA dans la chaîne de développement.
- Faire réaliser un test d’intrusion applicatif avant chaque mise en production majeure.
- Exiger dans les contrats de développement un niveau de l’OWASP ASVS.
