1. Qu'est-ce que l'OWASP Top 10 ?
Le OWASP Top 10 est une liste consensus des 10 vulnérabilités web les plus critiques, publiée par la fondation Open Worldwide Application Security Project (OWASP). C'est le référentiel de fait de l'AppSec mondiale depuis 2003, mis à jour tous les 3 à 4 ans.
La version en vigueur est l'OWASP Top 10 2021, avec une mise à jour majeure prévue pour 2025. Chaque entrée est documentée avec : définition, exemples de scénarios, facteurs de risque, CWEs mappés, recommandations de prévention.
2. Les 10 catégories actuelles
- A01 - Broken Access Control : échec dans l'application des règles d'autorisation.
- A02 - Cryptographic Failures : mauvais usage ou absence de cryptographie.
- A03 - Injection : SQL, NoSQL, OS, LDAP, expression languages.
- A04 - Insecure Design : faiblesses architecturales, pas juste implémentation.
- A05 - Security Misconfiguration : défauts, debug laissé, headers manquants.
- A06 - Vulnerable and Outdated Components : dépendances non patchées.
- A07 - Identification and Authentication Failures : auth cassée, session mal gérée.
- A08 - Software and Data Integrity Failures : CI/CD non vérifié, deserialization.
- A09 - Security Logging and Monitoring Failures : pas de détection, pas de traces.
- A10 - Server-Side Request Forgery (SSRF) : requêtes serveur forgées.
3. Pourquoi c'est important
L'OWASP Top 10 n'est pas qu'une liste académique. Elle est intégrée dans :
- Les exigences réglementaires (PCI-DSS, SOC 2, ISO 27001 sectoriel)
- Les cursus de formation sécurité (CCSK, OSCP, certifications éditeurs)
- Les audits de conformité
- Les politiques sécurité d'entreprise
- Les outils SAST/DAST (mapping natif)
Maîtriser le OWASP Top 10 est prérequis pour tout ingénieur AppSec, développeur senior, architecte sécurité.
4. Prochaines étapes
Chaque vulnérabilité du Top 10 mérite un article dédié. Cette catégorie de ressources publiera progressivement :
- Analyse technique approfondie de chaque entrée (avec exemples de code vulnérable vs sécurisé)
- Mapping CWE et CVE associés
- Intégration dans les pipelines CI/CD
- Corrélation avec d'autres référentiels (ASVS, API Top 10, Mobile Top 10, LLM Top 10)
Pour un traitement complet et hands-on, la formation OWASP Web Security de Zeroday Cyber Academy couvre chaque vulnérabilité avec des labs offensifs et défensifs.
