Glossaire de sécurité

Qu'est-ce que l'OWASP Top 10 ?

L'OWASP Top 10 est une liste, régulièrement mise à jour et portée par la communauté, des risques de sécurité les plus critiques pour les applications web, publiée par l'Open Worldwide Application Security Project. C'est la référence commune du secteur pour le risque applicatif, mais c'est un document de sensibilisation, pas une checklist de test.

Ce qu'il est (et n'est pas)

Le Top 10 sensibilise aux catégories de risque qui affectent le plus couramment et le plus gravement les applications web, afin que les équipes et les parties prenantes partagent un vocabulaire. Il n'est délibérément pas un standard complet ni un plan de test : pour une couverture systématique, vous utilisez l'OWASP Web Security Testing Guide (WSTG) pour les cas de test et l'OWASP Application Security Verification Standard (ASVS) pour les exigences au niveau des contrôles. Le Top 10 cadre le risque ; WSTG et ASVS pilotent les tests proprement dits.

L'édition actuelle : 2025

La version actuelle est l'OWASP Top 10 2025. Si vous voyez encore des références à 2021, elles sont obsolètes. Les catégories 2025 sont : A01 Broken Access Control, A02 Security Misconfiguration, A03 Software Supply Chain Failures, A04 Cryptographic Failures, A05 Injection, A06 Insecure Design, A07 Authentication Failures, A08 Software or Data Integrity Failures, A09 Security Logging and Alerting Failures, et A10 Mishandling of Exceptional Conditions.

Ce qui a changé en 2025

Broken Access Control reste en tête : c'est systématiquement le risque web sérieux le plus répandu, d'où l'importance des tests authentifiés et multi-rôles. Parmi les évolutions notables, Security Misconfiguration grimpe en A02, une nouvelle catégorie Software Supply Chain Failures (A03) élargit l'ancien thème des « composants vulnérables », et un nouveau A10 couvre la mauvaise gestion des conditions exceptionnelles. Les catégories évoluent au rythme des données du terrain et des menaces.

Comment il est utilisé dans un test d'intrusion

Dans une évaluation web, le Top 10 sert généralement à cadrer et à communiquer les constats, en rattachant chaque problème à une catégorie de risque que la direction connaît. La profondeur, elle, vient des cas de test WSTG et de la vérification au regard d'ASVS. Il existe aussi un OWASP API Security Top 10 (édition actuelle : 2023) pour les API, et le projet OWASP Mobile Application Security (MASVS/MASTG) pour le mobile, car ces surfaces présentent des risques qui leur sont propres.

Questions fréquentes

C'est une liste régulièrement mise à jour, portée par la communauté, des risques de sécurité les plus critiques pour les applications web, publiée par l'OWASP. C'est le point de référence commun du secteur pour le risque applicatif, mais volontairement un document de sensibilisation, et non une norme complète ni un plan de test.

L'édition actuelle est celle de 2025, et les références à 2021 sont dépassées. Broken Access Control reste en tête, Security Misconfiguration est montée en A02, et deux nouvelles catégories apparaissent : A03 Software Supply Chain Failures et A10 Mishandling of Exceptional Conditions.

Pas directement. Dans une évaluation web, il sert généralement à structurer et à communiquer les constats en rattachant chaque problème à une catégorie de risque, tandis que la profondeur réelle du test vient de l'OWASP Web Security Testing Guide et de la vérification selon l'ASVS. Les API et les applications mobiles ont leurs propres équivalents : l'OWASP API Security Top 10 et MASVS/MASTG.

Parlez à un vrai praticien.

Une question à laquelle ces pages n'ont pas répondu ? Dites-nous ce que vous cherchez à protéger et nous vous orienterons vers la mission adaptée. La première consultation est gratuite.