Glosario de seguridad

¿Qué es el OWASP Top 10?

El OWASP Top 10 es una lista, actualizada con regularidad y elaborada por la comunidad, de los riesgos de seguridad más críticos para las aplicaciones web, publicada por el Open Worldwide Application Security Project. Es la referencia común del sector para el riesgo de las aplicaciones, pero es un documento de concienciación, no una lista de comprobación para pruebas.

Qué es (y qué no es)

El Top 10 concientiza sobre las categorías de riesgo que con más frecuencia y gravedad afectan a las aplicaciones web, para que los equipos y las partes interesadas compartan un vocabulario. Deliberadamente no es un estándar completo ni un plan de pruebas: para una cobertura sistemática usas la OWASP Web Security Testing Guide (WSTG) para los casos de prueba y el OWASP Application Security Verification Standard (ASVS) para los requisitos a nivel de control. El Top 10 enmarca el riesgo; la WSTG y la ASVS guían las pruebas reales.

La edición actual: 2025

La versión actual es el OWASP Top 10 2025. Si todavía ves referencias a 2021, están desactualizadas. Las categorías de 2025 son: A01 Broken Access Control, A02 Security Misconfiguration, A03 Software Supply Chain Failures, A04 Cryptographic Failures, A05 Injection, A06 Insecure Design, A07 Authentication Failures, A08 Software or Data Integrity Failures, A09 Security Logging and Alerting Failures y A10 Mishandling of Exceptional Conditions.

Qué cambió en 2025

Broken Access Control sigue en primer lugar: es, de forma constante, el riesgo web grave más extendido, y por eso las pruebas autenticadas y multirrol importan tanto. Entre los cambios más destacados están el ascenso de Security Misconfiguration a A02, una nueva categoría Software Supply Chain Failures (A03) que amplía el antiguo tema de los «componentes vulnerables» y un nuevo A10 dedicado a la mala gestión de condiciones excepcionales. Las categorías cambian a medida que cambian los datos reales y las amenazas.

Cómo se usa en un pentest

En una evaluación web, el Top 10 se usa normalmente para enmarcar y comunicar los hallazgos, asignando cada problema a una categoría de riesgo que la dirección reconoce. La profundidad procede de los casos de prueba de la WSTG y de la verificación frente a ASVS. También existe un OWASP API Security Top 10 (edición actual: 2023) para las API y el proyecto OWASP Mobile Application Security (MASVS/MASTG) para móvil, porque esas superficies tienen sus propios riesgos.

Preguntas frecuentes

Es una lista actualizada con regularidad e impulsada por la comunidad de los riesgos de seguridad más críticos para las aplicaciones web, publicada por OWASP. Es el punto de referencia común del sector para el riesgo de las aplicaciones, pero es deliberadamente un documento de concienciación, no un estándar completo ni un plan de pruebas.

La edición actual es la de 2025; las referencias a 2021 están desactualizadas. Broken Access Control sigue en primer lugar, Security Misconfiguration ha subido a A02 y hay dos categorías nuevas: A03 Software Supply Chain Failures y A10 Mishandling of Exceptional Conditions.

No directamente. En una evaluación web suele servir para enmarcar y comunicar los hallazgos, asignando cada problema a una categoría de riesgo, mientras que la profundidad real de la prueba procede de la OWASP Web Security Testing Guide y de la verificación frente a ASVS. Las API y las apps móviles tienen sus propios equivalentes: el OWASP API Security Top 10 y MASVS/MASTG.

Habla con un profesional de verdad.

¿Tienes una pregunta que estas páginas no respondieron? Cuéntanos qué intentas proteger y te orientaremos hacia el proyecto adecuado. La primera consulta es gratuita.