Glossaire · Sécurité
OWASP Top 10
Également appelé : OWASP Top Ten, top 10 OWASP, liste OWASP Top 10
Définition
Liste de sensibilisation de l'OWASP qui recense les dix catégories de risques de sécurité web les plus critiques, utilisée pour cadrer tests et revues de code.
L’OWASP Top 10 est un document de l’Open Worldwide Application Security Project qui classe les catégories de risques de sécurité les plus critiques pour les applications web, à partir de données sur les vulnérabilités et des contributions de la communauté. C’est un document de sensibilisation, pas un standard complet : il vous dit où regarder en premier, tandis qu’un référentiel comme l’OWASP Application Security Verification Standard (ASVS) fournit des exigences détaillées et testables.
La liste 2021
| ID | Catégorie | Ce que vérifie un testeur, par exemple |
|---|---|---|
| A01 | Broken Access Control (contrôle d’accès défaillant) | L’utilisateur A peut-il lire ou modifier les données de l’utilisateur B ? Un utilisateur normal peut-il appeler des endpoints d’administration ? |
| A02 | Cryptographic Failures (défaillances cryptographiques) | Données sensibles envoyées en HTTP clair, hachage de mots de passe faible, secrets dans les réponses |
| A03 | Injection | Injection SQL, de commandes et NoSQL ; le cross-site scripting est regroupé ici |
| A04 | Insecure Design (conception non sécurisée) | Limites de logique métier absentes, comme la réutilisation illimitée d’un code promo |
| A05 | Security Misconfiguration (mauvaise configuration de sécurité) | Identifiants par défaut, stack traces trop bavardes, stockage cloud ouvert, en-têtes manquants |
| A06 | Vulnerable and Outdated Components (composants vulnérables et obsolètes) | Dépendances avec des CVE connues |
| A07 | Identification and Authentication Failures (défaillances d’identification et d’authentification) | Gestion de session faible, pas de protection contre la force brute, réinitialisation de mot de passe défaillante |
| A08 | Software and Data Integrity Failures (défaillances d’intégrité des logiciels et des données) | Mises à jour non signées, désérialisation non sécurisée, entrées CI/CD non fiables |
| A09 | Security Logging and Monitoring Failures (défaillances de journalisation et de surveillance) | Échecs de connexion et refus d’accès non journalisés ni alertés |
| A10 | Server-Side Request Forgery (SSRF) | Un paramètre d’URL qui pousse le serveur à appeler des adresses internes |
L’OWASP met la liste à jour tous les quelques ans. Consultez owasp.org pour connaître l’édition en vigueur avant de citer des numéros de catégorie dans un rapport, car les classements et les regroupements changent d’une version à l’autre.
Comment les testeurs l’utilisent
- Cadrage. Associez chaque catégorie à des vérifications concrètes pour votre application, puis décidez lesquelles automatiser, lesquelles couvrir manuellement et lesquelles relèvent d’un test d’intrusion par un spécialiste.
- Automatisation là où elle a du sens. Les contrôles d’accès (deux utilisateurs, on échange les ID, on attend
403ou404) et l’analyse des dépendances s’exécutent bien en CI. Des scanners dynamiques comme OWASP ZAP peuvent tourner sur l’environnement de staging.
Erreurs fréquentes
Traiter la liste comme une checklist qui, une fois cochée, signifierait « sécurisé », et la confondre avec les autres Top 10 de l’OWASP consacrés aux API et aux applications LLM, qui ont leurs propres catégories.
Ne testez que des systèmes qui vous appartiennent ou pour lesquels vous disposez d’une autorisation écrite.