Le OWASP Top 10 est le référentiel mondial des vulnérabilités de sécurité les plus critiques pour les applications web. Publié par l’Open Web Application Security Project, ce classement est la boussole des développeurs, pentesters et RSSI pour identifier, prioriser et corriger les failles les plus exploitées par les cyberattaquants.
En novembre 2025, l’OWASP a publié sa mise à jour majeure : le OWASP Top 10 2025, première révision depuis quatre ans.
Dans ce guide complet, découvrez l’intégralité du OWASP Top 10 2025, les changements par rapport à la version 2021, comment protéger vos applications contre chaque vulnérabilité, et pourquoi ce standard est devenu incontournable en cybersécurité applicative.
Qu’est-ce que l’OWASP Top 10 ?
Le OWASP Top 10 est un document de sensibilisation qui répertorie les 10 risques de sécurité les plus critiques pour les applications web. Produit par la communauté internationale de l’Open Web Application Security Project, il s’appuie sur des données réelles collectées auprès de centaines de milliers d’applications et de milliers d’organisations.
Mis à jour tous les trois à quatre ans, chaque version du classement OWASP reflète l’évolution réelle du paysage des menaces. La version 2025 est la huitième édition de ce référentiel depuis ses débuts en 2003.
Pourquoi le OWASP Top 10 est-il incontournable ?
- Référence mondiale : utilisé comme base par les normes ISO 27001, PCI-DSS, SOC 2 et l’ANSSI
- Socle des audits applicatifs : structure les tests d’intrusion et pentests web/mobile
- Langage commun : développeurs, RSSI, DSI et prestataires parlent le même référentiel
- Prévention proactive : couvre l’essentiel des vecteurs d’attaque web courants
- Conformité réglementaire : exigé explicitement ou implicitement par de nombreux frameworks de sécurité
- Outil de gouvernance : sert de base pour définir des politiques de sécurité et des critères d’évaluation fournisseurs
OWASP Top 10 2025 vs 2021 : ce qui a changé
La version 2025 marque une évolution structurelle importante. L’OWASP abandonne progressivement l’approche « symptôme par symptôme » pour se concentrer sur les causes profondes des vulnérabilités. Deux nouvelles catégories font leur entrée, la SSRF est fusionnée dans le Broken Access Control, et plusieurs entrées montent ou descendent de rang.
| OWASP Top 10 2021 | OWASP Top 10 2025 |
|---|---|
| A01 – Broken Access Control | A01 – Broken Access Control (+ SSRF intégré) |
| A02 – Cryptographic Failures | A02 – Security Misconfiguration (↑ de #5) |
| A03 – Injection | A03 – Software Supply Chain Failures (nouvelle) |
| A04 – Insecure Design | A04 – Cryptographic Failures |
| A05 – Security Misconfiguration | A05 – Injection (↓ de #3) |
| A06 – Vulnerable and Outdated Components | A06 – Insecure Design |
| A07 – Authentication Failures | A07 – Authentication Failures |
| A08 – Software and Data Integrity Failures | A08 – Software or Data Integrity Failures |
| A09 – Security Logging and Monitoring Failures | A09 – Security Logging and Alerting Failures |
| A10 – Server-Side Request Forgery (SSRF) | A10 – Mishandling of Exceptional Conditions (nouvelle) |
OWASP Top 10 2025 : les 10 vulnérabilités web les plus critiques
A01:2025 – Broken Access Control (Contrôle d’accès défaillant)
Position OWASP 2025 : #1 — pour la quatrième édition consécutive
Le contrôle d’accès défaillant reste la vulnérabilité la plus répandue du classement OWASP. Cette faille permet à un attaquant d’accéder à des ressources, données ou fonctionnalités pour lesquelles il n’est pas autorisé.
Dans la version 2025, la catégorie s’élargit : la SSRF y est désormais intégrée, reconnue comme une manifestation spécifique d’un contrôle d’accès insuffisant, notamment dans les environnements cloud et microservices. Sa persistance au sommet du OWASP Top 10 envoie un signal clair : la logique d’autorisation reste l’un des aspects les plus difficiles à maîtriser à grande échelle, et l’une des cibles les plus rentables pour les attaquants.
Vecteurs d’attaque typiques :
- Modification d’URL pour accéder à des ressources administrateur (
/admin,/api/users/456) - Manipulation d’identifiants dans les requêtes (IDOR – Insecure Direct Object Reference)
- Élévation de privilèges via des tokens mal configurés ou réutilisables
- Contournement de contrôles d’accès reposant uniquement sur l’interface utilisateur
- Exploitation SSRF : utilisation du serveur comme relais vers des ressources internes ou des métadonnées cloud
Contre-mesures :
- Implémenter les contrôles d’accès exclusivement côté serveur
- Appliquer le principe du moindre privilège et le refus par défaut (deny by default)
- Valider et filtrer toutes les URL fournies par les utilisateurs
- Segmenter le réseau et désactiver les redirections HTTP non nécessaires
- Journaliser systématiquement les échecs de contrôle d’accès
- Tester régulièrement les permissions via des pentests applicatifs
A02:2025 – Security Misconfiguration (Mauvaise configuration de sécurité)
Position OWASP 2025 : #2 (anciennement #5 en 2021)
La mauvaise configuration de sécurité est la grande progression de cette édition. Sa montée au deuxième rang reflète la multiplication des environnements cloud hautement configurables, où une option mal paramétrée suffit à exposer des données critiques.
Cette vulnérabilité OWASP englobe désormais les erreurs de configuration dans les infrastructures cloud, les APIs, les pipelines CI/CD et les services managés.
Erreurs fréquentes :
- Comptes et mots de passe par défaut non modifiés
- Buckets S3, Azure Blob ou GCS exposés publiquement
- En-têtes de sécurité HTTP absents (CSP, HSTS, X-Frame-Options)
- Stack traces et messages d’erreur verbeux visibles par les utilisateurs
- Permissions excessives dans les rôles IAM cloud
- Fonctionnalités inutiles activées (debug mode, interfaces d’administration exposées)
Contre-mesures :
- Automatiser les configurations sécurisées via l’Infrastructure as Code (Terraform, Ansible)
- Implémenter un processus de hardening systématique
- Auditer régulièrement les configurations cloud (OpenSCAP, Prowler, Lynis)
- Désactiver tous les services, ports et fonctionnalités inutiles
- Définir des politiques de sécurité as code pour détecter les dérives de configuration
A03:2025 – Software Supply Chain Failures (Défaillances de la chaîne d’approvisionnement logicielle)
Position OWASP 2025 : #3 — nouvelle catégorie, remplace « Vulnerable and Outdated Components »
C’est la nouveauté la plus structurante du OWASP Top 10 2025. Cette catégorie élargit considérablement l’ancienne entrée sur les composants vulnérables : elle couvre désormais l’ensemble de la chaîne logicielle, des dépendances aux pipelines de build en passant par les systèmes de distribution.
Les attaques supply chain ont démontré leur efficacité redoutable : quand le code est compromis avant d’atteindre la production, la plupart des contrôles de sécurité traditionnels sont contournés.
Vecteurs d’attaque :
- Compromission d’une dépendance open source (dependency confusion, typosquatting)
- Attaque sur le pipeline CI/CD (injection de code malveillant au build)
- Utilisation de bibliothèques non maintenues avec des CVE critiques
- Confiance implicite dans des composants tiers non vérifiés
- Absence de Software Bill of Materials (SBOM)
Contre-mesures :
- Maintenir un inventaire complet des dépendances (SBOM)
- Vérifier les signatures numériques et les hashs des dépendances
- Utiliser des outils d’analyse de composition logicielle (Dependabot, Snyk, OWASP Dependency-Check)
- Sécuriser le pipeline CI/CD et restreindre les accès aux systèmes de build
- S’abonner aux alertes CVE et mettre à jour les composants régulièrement
- Supprimer les dépendances inutilisées
A04:2025 – Cryptographic Failures (Défaillances cryptographiques)
Position OWASP 2025 : #4 (anciennement #2 en 2021)
Les défaillances cryptographiques concernent l’exposition de données sensibles due à un chiffrement absent, faible ou mal implémenté. Elles descendent d’un rang mais restent un vecteur de compromission majeur, particulièrement sur les applications traitant des données personnelles (RGPD), financières ou médicales.
Données à risque :
- Mots de passe stockés en clair ou hachés avec des algorithmes faibles (MD5, SHA-1)
- Données personnelles transmises en HTTP sans TLS
- Clés API et secrets exposés dans le code source ou les variables d’environnement
- Données au repos non chiffrées (bases de données, sauvegardes, logs)
- Numéros de cartes bancaires non conformes PCI-DSS
Contre-mesures :
- Imposer TLS/HTTPS sur toutes les communications (HSTS activé)
- Chiffrer les données sensibles au repos (AES-256)
- Hacher les mots de passe avec bcrypt, Argon2 ou scrypt — jamais MD5 ou SHA-1
- Mettre en place une gestion sécurisée des clés (HSM, coffre-fort de secrets)
- Ne stocker que les données strictement nécessaires (minimisation RGPD)
A05:2025 – Injection
Position OWASP 2025 : #5 (anciennement #3 en 2021, #1 jusqu’en 2017)
La descente des injections dans le classement OWASP reflète des pratiques de développement améliorées — notamment l’adoption des ORM et des requêtes paramétrées. Elles restent cependant critiques et très fréquemment détectées lors des pentests applicatifs.
Types d’injections couverts :
- SQL Injection : manipulation de requêtes base de données
- NoSQL Injection : exploitation de MongoDB, CouchDB, Elasticsearch
- Command Injection : exécution de commandes système via l’application
- Template Injection (SSTI) : exploitation des moteurs de templates
- LDAP / XPath Injection : manipulation de requêtes d’annuaire ou XML
Exemple d’attaque SQL Injection :
SELECT * FROM users WHERE username = 'admin' AND password = '' OR '1'='1'
Contre-mesures :
- Utiliser exclusivement des requêtes paramétrées (prepared statements)
- Recourir à des ORM sécurisés en évitant les requêtes dynamiques
- Valider et assainir toutes les entrées utilisateur côté serveur
- Implémenter une whitelist des caractères autorisés
- Appliquer le principe de moindre privilège sur les comptes base de données
A06:2025 – Insecure Design (Conception non sécurisée)
Position OWASP 2025 : #6 (introduite en 2021, confirmée en 2025)
La conception non sécurisée désigne les failles architecturales fondamentales qui ne peuvent être corrigées par une implémentation parfaite : elles sont ancrées dans les choix de design. L’OWASP 2025 réaffirme l’importance d’intégrer la sécurité dès la phase de conception plutôt qu’en fin de cycle.
Problèmes typiques :
- Absence de modélisation des menaces (threat modeling)
- Logique métier contournable (ex : validation uniquement côté client)
- Architecture sans segmentation ni isolation des composants critiques
- Aucun design pattern de sécurité appliqué (Zero Trust, Defense in Depth)
- Flux utilisateur permettant des abus non anticipés
Contre-mesures :
- Intégrer le Security by Design dès les premières phases de projet
- Réaliser des modélisations de menaces (méthodes STRIDE ou PASTA)
- Impliquer des experts en sécurité offensive dès la phase de conception
- Effectuer des revues d’architecture régulières
- Adopter une approche Zero Trust pour les composants sensibles
A07:2025 – Authentication Failures (Échecs d’authentification)
Position OWASP 2025 : #7 (stable)
Les échecs d’authentification permettent aux attaquants de compromettre des comptes via des mécanismes de connexion insuffisamment sécurisés. Credential stuffing, brute force, sessions mal gérées : les vecteurs sont nombreux et souvent sous-estimés.
Vulnérabilités courantes :
- Absence d’authentification multi-facteurs (MFA)
- Politique de mots de passe permissive ou inexistante
- Absence de rate limiting sur les endpoints de connexion
- Identifiants de session exposés dans les URL ou les logs
- Sessions non invalidées après déconnexion ou changement de mot de passe
- Tokens JWT mal vérifiés ou signés avec des algorithmes faibles
Contre-mesures :
- Déployer le MFA sur tous les comptes sensibles
- Implémenter un rate limiting et un blocage temporaire après échecs répétés
- Utiliser des gestionnaires de sessions sécurisés côté serveur
- Invalider les sessions après déconnexion, expiration ou changement de credentials
- Recourir à des bibliothèques d’authentification éprouvées (OAuth 2.0, OpenID Connect)
A08:2025 – Software or Data Integrity Failures (Échecs d’intégrité logicielle et des données)
Position OWASP 2025 : #8 (stable depuis 2021)
Cette catégorie couvre les situations où le code, les mises à jour ou les données ne sont pas vérifiés pour garantir leur intégrité. Une mise à jour mal validée, un module compromis ou des données corrompues peuvent avoir des impacts silencieux mais très graves sur la sécurité de l’application.
Scénarios d’attaque :
- Mise à jour automatique distribuant un package malveillant non signé
- Désérialisation non sécurisée de données provenant d’une source non fiable
- Pipeline CI/CD compromis injectant du code malveillant en production
- Dépendances chargées sans vérification de hash ou de signature
Contre-mesures :
- Vérifier les signatures numériques de toutes les dépendances et mises à jour
- Utiliser exclusivement des repositories de confiance avec contrôle d’intégrité
- Sécuriser et auditer le pipeline CI/CD (accès, secrets, artefacts)
- Éviter la désérialisation de données provenant de sources non vérifiées
- Implémenter des contrôles d’intégrité en production (AIDE, Tripwire)
A09:2025 – Security Logging and Alerting Failures (Journalisation et alertes insuffisantes)
Position OWASP 2025 : #9 — « Alerting » remplace « Monitoring » dans l’intitulé
Une journalisation insuffisante empêche la détection, l’escalade et la réponse aux incidents de sécurité. La version 2025 renforce l’accent sur la capacité d’alerte en temps réel, et pas seulement sur la collecte passive de logs. Sans visibilité, une intrusion peut rester indétectée pendant des semaines.
Conséquences d’une journalisation défaillante :
- Attaques non détectées pendant une durée excessive
- Impossibilité d’analyse forensique post-incident
- Absence de preuves pour les enquêtes légales ou réglementaires
- Alertes inexistantes ou noyées dans le bruit
Contre-mesures :
- Journaliser tous les événements de sécurité critiques (authentifications, erreurs d’accès, modifications de données)
- Centraliser les logs dans un SIEM (Splunk, ELK, Graylog)
- Configurer des alertes en temps réel sur les comportements anormaux
- Protéger les logs contre la falsification et l’accès non autorisé
- Conserver les logs selon les exigences légales et réglementaires applicables
A10:2025 – Mishandling of Exceptional Conditions (Mauvaise gestion des conditions exceptionnelles)
Position OWASP 2025 : #10 — nouvelle catégorie, remplace la SSRF (désormais intégrée au A01)
La gestion incorrecte des conditions exceptionnelles est l’une des deux nouveautés majeures du OWASP Top 10 2025. Elle couvre les situations où un programme ne parvient pas à gérer correctement des états anormaux ou des erreurs inattendues, provoquant des comportements imprévus exploitables.
Souvent méconnue, cette vulnérabilité est particulièrement dangereuse dans les architectures distribuées et les environnements microservices.
Scénarios typiques :
- Gestion d’exception défaillante exposant des informations système sensibles (stack traces)
- Comportement « fail open » : l’application autorise l’accès en cas d’erreur au lieu de le refuser
- Flux logiques non anticipés ouvrant des portes dérobées involontaires
- Race conditions et états incohérents exploitables dans les systèmes distribués
- Plantages applicatifs déclenchés intentionnellement pour contourner des contrôles
Contre-mesures :
- Implémenter une gestion d’erreurs exhaustive avec comportement « fail secure »
- Ne jamais exposer d’informations système dans les messages d’erreur utilisateur
- Tester les comportements aux limites via l’injection de fautes et le chaos engineering
- Définir des états de repli sécurisés pour chaque composant critique
- Inclure la gestion des exceptions dans les revues de code sécurité
Comment implémenter le OWASP Top 10 dans vos projets ?
1. Intégration dans le cycle de développement (DevSecOps)
Le OWASP Top 10 n’est pas une checklist à cocher en fin de projet : c’est un cadre à intégrer tout au long du cycle de développement.
- Conception : modélisation des menaces STRIDE/PASTA, Security by Design
- Développement : formation aux vulnérabilités OWASP, revues de code sécurisé
- Tests : pentests applicatifs couvrant l’intégralité du OWASP Top 10, analyses de composition logicielle
- Déploiement : validation des configurations, vérification des signatures et pipelines CI/CD
- Maintenance : surveillance continue, patch management, audits de configuration réguliers
2. Outils recommandés par l’OWASP
- OWASP ZAP : scanner de vulnérabilités applicatives open-source
- OWASP Dependency-Check : analyse des composants et dépendances vulnérables
- OWASP ASVS : standard de vérification de sécurité applicative, complémentaire au Top 10
- OWASP Testing Guide : méthodologie complète pour les tests de sécurité web
- OWASP Cheat Sheet Series : guides pratiques par type de vulnérabilité
- Snyk / Dependabot : détection des CVE dans les dépendances en continu
3. Le pentest : la mise à l’épreuve réelle du OWASP Top 10
Un pentest d’application web réalisé par des experts offensifs est le moyen le plus efficace de vérifier concrètement la résistance de vos applications face aux 10 catégories du classement OWASP. Contrairement aux scanners automatisés, un pentester humain identifie les enchaînements de vulnérabilités, les failles logiques et les scénarios d’attaque réels que les outils ne détectent pas.
Checklist OWASP Top 10 2025 : évaluez votre posture de sécurité
✅ Contrôle d’accès : tous les endpoints critiques sont-ils protégés côté serveur ? Les SSRF sont-ils prévenus ?
✅ Configuration : les paramètres par défaut ont-ils été durcis ? Les services inutiles sont-ils désactivés ?
✅ Supply Chain : un SBOM est-il maintenu ? Les dépendances sont-elles auditées et signées ?
✅ Cryptographie : les données sensibles sont-elles chiffrées au repos et en transit ?
✅ Injection : les requêtes paramétrées et ORM sont-ils utilisés systématiquement ?
✅ Design : une modélisation des menaces a-t-elle été réalisée dès la conception ?
✅ Authentification : le MFA est-il activé sur les comptes critiques ? Le rate limiting est-il en place ?
✅ Intégrité : les signatures des mises à jour et dépendances sont-elles vérifiées ?
✅ Logging : les événements de sécurité sont-ils centralisés et alertés en temps réel ?
✅ Gestion des erreurs : l’application échoue-t-elle de manière sécurisée (fail secure) ?
Le OWASP Top 10, pilier de la sécurité applicative moderne
Le OWASP Top 10 2025 marque un tournant : l’OWASP ne liste plus seulement des symptômes, il pointe les causes systémiques des vulnérabilités dans les logiciels modernes. Chaîne d’approvisionnement, gestion des erreurs, configuration cloud, intégrité des pipelines : autant de dimensions que les équipes de développement et de sécurité doivent désormais maîtriser conjointement.
Maîtriser ce référentiel est aujourd’hui indispensable pour :
- Développeurs : intégrer les bons réflexes de sécurité dès la ligne de code
- Pentesters : structurer leurs audits autour des risques réellement constatés sur le terrain
- RSSI / DSI : évaluer le niveau de risque applicatif et prioriser les investissements sécurité
- Responsables conformité : démontrer l’alignement avec les standards reconnus (ISO 27001, PCI-DSS, DORA)
- Décideurs : définir des exigences contractuelles et des critères d’évaluation des prestataires
La sécurité n’est pas une fonctionnalité, c’est un processus continu. Le OWASP Top 10 2025 vous fournit la feuille de route pour y parvenir — à condition de l’intégrer réellement dans votre culture de développement et vos pratiques d’audit.
Ressources complémentaires OWASP
