OWASP Top 10

Définition

Classement des dix risques de sécurité applicative les plus critiques, publié par l'OWASP. L'édition 2025 remplace celle de 2021 : A01 Broken Access Control (qui absorbe SSRF), A02 Security Misconfiguration, A03 Software Supply Chain Failures (nouveau), A04 Cryptographic Failures, A05 Injection, A06 Insecure Design, A07 Authentication Failures, A08 Software or Data Integrity Failures, A09 Security Logging and Alerting Failures, A10 Mishandling of Exceptional Conditions (nouveau).

Analogie

Le top 10 des erreurs les plus courantes au code de la route : les connaître évite 90% des accidents.

Exemple de code

// A05:2025 Injection – requête paramétrée
const user = await db.query(
  'SELECT * FROM users WHERE id = $1', // jamais de concaténation
  [userId]
);
// A10:2025 Mishandling of Exceptional Conditions – échouer proprement
try { await pay(order); }
catch (err) {
  logger.error({ err, orderId: order.id }); // A09 : journaliser + alerter
  throw new PaymentError('Paiement refusé'); // pas de fuite de détails
}

Cas d'usage

Grille de lecture obligatoire en revue de code ou en audit ; l'entrée A03:2025 impose de regarder les dépendances, les pipelines CI et les artefacts (SBOM, signatures).

Anti-pattern

Termes liés

Sources

• owasp.org/projects/top-ten
• top10.owasp.org/2025