Les 10 risques OWASP (version 2025)
L'OWASP Top 10:2025 est la version en vigueur. Elle a été annoncée en novembre 2025 à la Global AppSec de Washington et publiée en version finale en janvier 2026. OWASP marque désormais l'édition 2021 comme superseded.
- A01 Broken Access Control : contrôles d'accès défaillants. La catégorie absorbe désormais la SSRF, qui constituait l'A10 en 2021.
- A02 Security Misconfiguration : configurations par défaut, services exposés, durcissement absent. Passe de la 5ᵉ à la 2ᵉ place.
- A03 Software Supply Chain Failures : nouvelle catégorie. Elle élargit l'ancien A06 « composants vulnérables » à toute la chaîne de construction : dépendances, registres, CI/CD, artefacts.
- A04 Cryptographic Failures : chiffrement faible ou absent. Recule de la 2ᵉ à la 4ᵉ place.
- A05 Injection : SQL, NoSQL, OS, LDAP, et XSS toujours rattachée à la catégorie. Recule de la 3ᵉ à la 5ᵉ place.
- A06 Insecure Design : défauts de modélisation, pas de bugs d'implémentation.
- A07 Authentication Failures : authentification défaillante. Renommée, anciennement « Identification and Authentication Failures ».
- A08 Software or Data Integrity Failures : intégrité des mises à jour, des données et des pipelines.
- A09 Security Logging and Alerting Failures : traçabilité insuffisante. Renommée, l'accent passe du monitoring à l'alerte effective.
- A10 Mishandling of Exceptional Conditions : nouvelle catégorie. Gestion défaillante des erreurs et des cas limites, fail-open, messages d'exception trop bavards.
Les articles Laucked référencés ci-dessous portent encore, pour certains, la numérotation 2021. Le mapping utile : IDOR et SSRF relèvent toutes deux de l'A01:2025, l'injection SQL et le XSS de l'A05:2025.
Pourquoi le OWASP Top 10 est important pour les PME ?
Les vulnérabilités du Top 10 représentent la majorité des failles trouvées lors des pentests. Les tester systématiquement couvre le socle de sécurité minimal attendu par les clients, les assureurs cyber et les auditeurs.
OWASP Top 10 et pentest
Chez Laucked, chaque mission de pentest web inclut la couverture complète de l'OWASP Top 10. Les findings sont mappés sur les catégories OWASP pour faciliter la lecture du rapport et le suivi des corrections.
Évolution 2021 → 2025 : ce qui a changé
La révision 2025 est la première depuis 2021. Elle ajoute deux catégories, en renomme trois et réordonne le reste. Les quatre mouvements qui changent quelque chose en mission :
- Software Supply Chain Failures entre en A03 : l'ancien A06 se limitait aux dépendances obsolètes. La catégorie couvre maintenant les registres, la CI/CD et les artefacts de build, ce qui déplace une partie du test hors de l'application elle-même.
- Mishandling of Exceptional Conditions entre en A10 : les erreurs mal gérées et les comportements fail-open deviennent une catégorie à part entière, là où elles étaient dispersées auparavant.
- La SSRF disparaît comme catégorie : elle est absorbée par l'A01 Broken Access Control. Un rapport qui parle encore d'« A10 SSRF » se réfère à la taxonomie 2021.
- Security Misconfiguration remonte en A02 : la fréquence observée sur les périmètres cloud et conteneurisés la fait passer devant les défaillances cryptographiques.
Broken Access Control conserve la première place, tenue depuis 2021. C'est la catégorie la plus systématiquement présente sur les applications testées, et celle qui produit le plus de findings critiques en pentest.
Les catégories OWASP Top 10 servent de taxonomie commune entre dev, sec, audit et assurance cyber. Un rapport de pentest qui map les findings sur OWASP facilite la priorisation et l'acceptation par les assureurs (Axa, Hiscox, Beazley, Stoïk).
Recevoir la checklist OWASP Top 10 (PDF imprimable)
Les 10 risques 2021 traduits en contrôles de remédiation à cocher pour vos équipes dev et sécurité. Indiquez votre email professionnel pour y accéder immédiatement.
FAQ OWASP Top 10
OWASP Top 10 ou OWASP ASVS, que choisir pour ma PME ?
Le Top 10 est un référentiel de risques (les 10 catégories les plus fréquentes). L'ASVS (Application Security Verification Standard) est un référentiel de contrôles avec 3 niveaux. Pour une PME : Top 10 minimum lors d'un pentest annuel, ASVS L1 si vous visez des grands comptes exigeants, L2 si vous traitez des données sensibles (santé, finance).
La prévention OWASP Top 10 suffit-elle pour un pentest complet ?
Non. Le Top 10 couvre le socle web, mais un pentest complet doit aussi tester : logique métier (workflows abusables), API (OWASP API Top 10 distinct), authentification multi-facteurs, rate-limiting, endpoints d'administration cachés, back-office, et spécificités techniques (GraphQL, WebSocket).
Quelle version de l'OWASP Top 10 fait référence en 2026 ?
La version 2025. Annoncée en novembre 2025 à la Global AppSec de Washington et publiée en version finale en janvier 2026, elle remplace l'édition 2021 qu'OWASP marque désormais comme superseded. Elle ajoute deux catégories, Software Supply Chain Failures en A03 et Mishandling of Exceptional Conditions en A10, et absorbe la SSRF dans Broken Access Control. Un rapport qui numérote la SSRF en A10 se réfère encore à la taxonomie 2021.
Mon assurance cyber exige-t-elle une conformité OWASP Top 10 ?
La plupart des assureurs (Axa, Hiscox, Stoïk, Mutuelle Générale) demandent désormais un questionnaire de sécurité qui inclut « Avez-vous testé l'OWASP Top 10 ? » ou « Votre application fait-elle l'objet d'un pentest annuel ? ». Ne pas cocher ces cases peut alourdir la prime ou exclure certaines garanties. L'impact exact varie selon l'assureur et le profil de risque. Voir assurance cyber PME.