Qu'est-ce que l'OWASP Top 10 ?
L'OWASP (Open Worldwide Application Security Project) est une communauté à but non lucratif qui publie des ressources de référence en sécurité applicative. Son Top 10 classe les catégories de risques les plus répandues et les plus graves. Le voici, dans sa structure la plus récente :
- Contrôle d'accès défaillant : un utilisateur accède à des données ou des actions qui ne devraient pas lui être permises.
- Défaillances cryptographiques : données sensibles mal ou pas chiffrées, protocoles obsolètes.
- Injection : des données non filtrées sont interprétées comme du code (SQL, commandes, etc.).
- Conception non sécurisée : failles présentes dès la conception, avant même le code.
- Mauvaise configuration de sécurité : options par défaut, services inutiles, en-têtes manquants.
- Composants vulnérables et obsolètes : bibliothèques et dépendances non mises à jour.
- Identification et authentification de mauvaise qualité : mots de passe faibles, sessions mal gérées.
- Manque d'intégrité des données et du logiciel : mises à jour ou dépendances non vérifiées.
- Carence des journaux et de la supervision : les attaques passent inaperçues faute de traces.
- Falsification de requête côté serveur (SSRF) : le serveur est amené à requêter une ressource interne à la demande d'un attaquant.
Pourquoi ça compte : ces dix familles couvrent la grande majorité des failles réellement exploitées. Un scan d'application web vérifie automatiquement la plupart d'entre elles.
Comment s'en servir
L'OWASP Top 10 est un excellent point de départ pour prioriser vos efforts : commencez par le contrôle d'accès et les injections, souvent les plus impactants. Pour les vulnérabilités concrètes derrière ces catégories, voir les failles web les plus fréquentes.
Passez à la pratique. Pentestscans automatise le scan de vulnérabilités de vos sites et domaines, puis vous rend un rapport clair. Découvrir les services · Voir les tarifs