OWASP Top 10 (Classement des principales vulnérabilités web)

Définition

L'OWASP Top 10 est le référentiel de sensibilisation aux risques de sécurité applicative le plus connu au monde, publié par l'Open Web Application Security Project. La version 2021 identifie dix catégories de risques : A01 Broken Access Control (contrôle d'accès insuffisant, première place), A02 Cryptographic Failures (chiffrement inadéquat), A03 Injection (SQL, commande OS, LDAP), A04 Insecure Design (défauts architecturaux), A05 Security Misconfiguration (configurations par défaut, headers manquants), A06 Vulnerable and Outdated Components (dépendances vulnérables), A07 Identification and Authentication Failures (authentification faible), A08 Software and Data Integrity Failures (désérialisation, mise à jour non signées), A09 Security Logging and Monitoring Failures (journalisation insuffisante), A10 Server-Side Request Forgery (SSRF). Ce référentiel sert de base à de nombreuses formations, audits de code, et exigences contractuelles. Il alimente les règles des WAF, les scanners DAST (OWASP ZAP, Burp Suite) et les checklists des tests de sécurité. Des extensions existent pour les APIs (OWASP API Security Top 10) et les applications mobiles (OWASP MASVS).