OWASP (Open Web Application Security Project)

Définition

L'OWASP (Open Web Application Security Project) est une organisation à but non lucratif fondée en 2001, dédiée à l'amélioration de la sécurité des logiciels et applications web par la production de ressources, d'outils et de méthodologies librement accessibles à la communauté mondiale des développeurs et des professionnels de la sécurité. Sa publication la plus connue, l'OWASP Top 10, recense périodiquement les dix catégories de risques applicatifs les plus critiques — dans son édition 2021, le Broken Access Control (dont IDOR) occupe la première place, devant les défaillances cryptographiques et l'injection — servant de référence de facto pour la sensibilisation des développeurs et la définition des exigences de sécurité dans les cahiers des charges. L'organisation produit également l'OWASP ASVS (Application Security Verification Standard), un référentiel de contrôles vérifiables pour l'audit de sécurité applicative, l'OWASP Testing Guide détaillant les méthodologies de test d'intrusion web, et des projets outillés majeurs comme ZAP (Zed Attack Proxy), un scanner de vulnérabilités web open-source largement utilisé en DAST. L'OWASP anime également un Top 10 spécifique aux API (OWASP API Security Top 10) et aux LLM (OWASP Top 10 for LLM Applications), suivant l'évolution des surfaces d'attaque. Structurée en chapitres locaux et financée par des dons et sponsors, l'organisation constitue une référence incontournable, neutre vis-à-vis des éditeurs commerciaux, pour l'ensemble de l'industrie de la sécurité applicative.