Le Top 10 de l’OWASP expliqué simplement

Les grandes familles de risques

• Contrôle d’accès défaillant : un utilisateur accède aux données ou aux fonctions d’un autre
• Défaillances cryptographiques : données sensibles mal protégées
• Injections : des données de l’utilisateur interprétées comme du code (SQL, commandes, XSS)
• Conception non sécurisée : des failles dans la logique même de l’application
• Mauvaise configuration de sécurité : réglages par défaut, messages d’erreur trop bavards
• Composants vulnérables ou obsolètes : bibliothèques non mises à jour
• Authentification défaillante : mots de passe, sessions, absence de MFA
• Atteinte à l’intégrité du logiciel et des données : mises à jour ou pipelines non vérifiés
• Journalisation et surveillance insuffisantes : attaques non détectées
• Falsification de requêtes côté serveur (SSRF) : le serveur appelle des adresses qu’il ne devrait pas

Ce que ça change pour vous

La première catégorie, le contrôle d’accès, est celle qu’on trouve le plus souvent et qu’aucun outil automatique ne détecte bien : il faut tester avec plusieurs comptes. C’est pourquoi nos tests d’applications web sont toujours authentifiés, avec plusieurs rôles.

Note

L’OWASP met sa liste à jour périodiquement ; l’ordre et les intitulés peuvent varier d’une édition à l’autre. Les principes, eux, restent.