Technique
OWASP Top 10
Aussi appeléTop 10 OWASPOWASP Top Ten
En résumé
Le classement, publié par la fondation OWASP, des dix catégories de risques de sécurité les plus critiques pour les applications web. C’est un document de sensibilisation qui sert de grille de formation, de test et de restitution, pas une norme de conformité ni une liste exhaustive.
OWASP Top 10, en détail
L’édition 2025 place en tête le contrôle d’accès défaillant, suivi de la mauvaise configuration de sécurité, des défaillances de la chaîne d’approvisionnement logicielle : définition, des défaillances cryptographiques, de l’injection, de la conception non sécurisée, des défaillances d’authentification, des défaillances d’intégrité des logiciels ou des données, des défaillances de journalisation et d’alerte, et de la mauvaise gestion des conditions exceptionnelles.
Le classement s’appuie sur des données de tests fournies par des organisations et sur une enquête auprès de la communauté. Il décrit des familles de défauts, pas les défauts de votre application : un test d’intrusion s’appuie sur des guides plus détaillés, comme le Web Security Testing Guide, et rattache ses constats aux catégories du Top 10 pour les rendre lisibles. Pour les API, l’OWASP maintient un classement distinct.
Qu’est-ce que cela change pour vous ?
Le Top 10 donne un vocabulaire commun entre développeurs, direction et prestataires. Il aide à formuler une demande de test, mais « conforme à l’OWASP Top 10 » ne veut rien dire de précis.
Exemple illustratif (fictif)
Imaginons une équipe qui demande « un test sur l’OWASP Top 10 » pour son application de réservation. Le test révélerait surtout un défaut absent du classement : on peut réserver la même place deux fois en envoyant deux requêtes simultanées. Le rapport rattache les autres constats aux catégories du Top 10, et celui-ci à la logique métier.
La confusion fréquente
Le traiter comme une liste de contrôle exhaustive. Une application peut ne présenter aucune des dix catégories et contenir un abus de logique métier, que le classement ne décrit pas.
Comment le détecter chez vous ?
- Audit de code : la prestationRetrouver la ligne de code responsable et la raison pour laquelle elle a été écrite.
- Formation développeurs : la prestationDes développeurs qui voient la faille pendant l’écriture, pas après le test d’intrusion.
Aller plus loin
- ArticleOWASP Top 10 : les dix risques expliqués pour décideurs et développeursLes dix catégories de risques de l’OWASP Top 10:2025 expliquées simplement : ce que chacune recouvre, comment un test d’intrusion la vérifie et ce que le classement ne dit pas.
- ArticleQue doit contenir un rapport de test d’intrusion ?Les éléments qu’un rapport de test d’intrusion doit contenir pour être utile : synthèse, périmètre, preuves reproductibles, gravité justifiée, recommandations et limites. Grille de vérification.
- ComparatifTest d’intrusion ou bug bounty : faut-il ouvrir un programme de primes ?Une mission cadrée et un programme de primes ont des modèles économiques opposés et des couvertures différentes. Ce que chacun apporte, ce qu’il suppose en interne, et quand l’un ne se justifie pas encore.
Termes liés
- AttaqueIDOR / BOLA : définitionUn défaut de contrôle d’accès où l’application sert l’objet demandé sans vérifier qu’il appartient à l’utilisateur authentifié.
- AttaqueInjection SQL : définitionUne vulnérabilité où des données saisies par l’utilisateur sont interprétées comme du code SQL par la base de données, faute de séparation entre la requête et ses paramètres.
- AttaqueCross-site scripting : définitionUne vulnérabilité qui permet d’injecter du code JavaScript dans une page web consultée par d’autres utilisateurs.
- AttaqueFaille de logique métier : définitionUn défaut dans les règles propres à une application, exploitable en utilisant ses fonctions de façon légitime mais dans un ordre, un contexte ou une combinaison que ses concepteurs n’avaient pas prévus.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début