Référentiel mondial de sécurité web

OWASP Top 10 : les 10 vulnérabilités web les plus critiques

L'OWASP Top 10 est LE référentiel de sécurité des applications web, mis à jour par la communauté depuis 2003. Il classe les 10 catégories de vulnérabilités les plus fréquentes et les plus dangereuses auxquelles votre site est exposé.

Qu'est-ce que l'OWASP Top 10 ?

OWASP (Open Web Application Security Project) est une fondation internationale à but non lucratif dédiée à la sécurité des applications web. Créée en 2001, elle regroupe des milliers de chercheurs, développeurs et professionnels de la cybersécurité qui contribuent bénévolement à des projets open source.

Le Top 10 OWASP est leur publication phare. Il recense les 10 catégories de risques de sécurité les plus critiques pour les applications web, classées selon leur fréquence et leur impact réel. Chaque édition est basée sur l'analyse de centaines de milliers de tests réalisés sur des applications en production dans le monde entier. Consultez la liste officielle OWASP Top 10 pour le détail de chaque catégorie.

La version actuelle date de 2021. La version 2025 est actuellement en cours de préparation par la communauté. Depuis sa première publication en 2003, le Top 10 a évolué pour refléter les nouvelles menaces : les injections SQL dominaient en 2010, les contrôles d'accès défaillants sont passés en tête en 2021.

Le Top 10 OWASP est utilisé comme référence de conformité par de nombreux standards et régulateurs : PCI-DSS l'exige pour les sites traitant des paiements par carte, la directive européenne NIS2 le cite comme cadre de bonnes pratiques, et de nombreux donneurs d'ordres l'imposent dans leurs cahiers des charges sécurité. Les vulnérabilités sont recensées dans la base CVE du MITRE et enrichies avec les scores CVSS par le NVD du NIST.

2003
Première publication du Top 10
500k+
Applications analysées pour le classement
PCI-DSS
Standard qui exige la conformité OWASP

Les 10 catégories de vulnérabilités

Chaque catégorie regroupe des dizaines de failles spécifiques. Voici ce qu'elles signifient concrètement pour votre site web, et comment notre audit les détecte.

A01:2021

Contrôle d'accès défaillant

Critique

Un utilisateur peut accéder à des ressources ou effectuer des actions qui ne lui sont pas autorisées. C'est la vulnérabilité n°1 du classement OWASP 2021, présente dans 94 % des applications testées.

Exemple : Un internaute modifie l'identifiant dans l'URL (/compte/1234/compte/5678) et accède aux données d'un autre utilisateur. Ou un panneau d'administration accessible sans authentification.
Détecté par notre audit : OWASP ZAP (accès non autorisés) + Nuclei (panneaux admin exposés)
A02:2021

Défaillances cryptographiques

Critique

Les données sensibles (mots de passe, numéros de carte, données personnelles) sont transmises ou stockées sans chiffrement adéquat. Cela inclut les certificats SSL/TLS mal configurés et les algorithmes de hachage obsolètes.

Exemple : Un site e-commerce utilise encore TLS 1.0, un protocole cassé. Les mots de passe sont stockés en MD5 au lieu de bcrypt. Les cookies de session n'ont pas le flag Secure.
Détecté par notre audit : analyse SSL/TLS, vérification des headers de sécurité, scan des cookies
A03:2021

Injection

Critique

Des données non fiables sont envoyées à un interpréteur (SQL, LDAP, OS, XSS) sans validation ni échappement. L'injection SQL reste la faille la plus exploitée au monde ; le Cross-Site Scripting (XSS) est désormais classé dans cette catégorie.

Exemple : Un formulaire de recherche vulnérable permet d'injecter ' OR 1=1 -- et d'extraire l'intégralité de la base de données. Un champ de commentaire non filtré permet d'injecter du JavaScript malveillant (XSS).
Détecté par notre audit : OWASP ZAP (active scan SQL/XSS/CSRF) + Nuclei (templates CVE injection)
A04:2021

Conception non sécurisée

Élevé

L'architecture de l'application n'intègre pas de mécanismes de sécurité dès la conception. Nouvelle catégorie en 2021, elle cible les défauts structurels : absence de rate limiting, flux métier non protégés, manque de séparation des privilèges.

Exemple : Un formulaire de réinitialisation de mot de passe n'a pas de limite de tentatives, permettant le brute force. Une API permet de passer 10 000 commandes sans vérification humaine.
Couvert partiellement : analyse des headers de rate limiting, détection de l'absence de protections anti-brute force
A05:2021

Mauvaise configuration de sécurité

Critique

Le serveur, le framework ou l'application est mal configuré : headers de sécurité manquants, mode debug activé en production, permissions trop larges, pages d'erreur révélant des informations techniques.

Exemple : Un site WordPress a le fichier wp-config.php.bak accessible publiquement. Le header X-Frame-Options est absent, rendant le site vulnérable au clickjacking. Le mode debug de PrestaShop est activé et expose les requêtes SQL.
Détecté par notre audit : OWASP ZAP (headers, misconfigs) + Nuclei (fichiers sensibles, debug mode) + scan CMS dédié
A06:2021

Composants vulnérables et obsolètes

Critique

L'application utilise des composants (CMS, plugins, bibliothèques) avec des vulnérabilités connues. 77 % des applications web contiennent au moins un composant obsolète. C'est la porte d'entrée favorite des attaquants automatisés.

Exemple : Un site utilise WordPress 5.2 (non maintenu) avec un plugin Contact Form 7 en version vulnérable (CVE-2023-6553). Un site PrestaShop utilise un module de paiement avec une injection SQL connue depuis 2 ans.
Détecté par notre audit : WPScan (plugins/thèmes WordPress) + Nuclei (CVE multi-CMS) + base NVD + scan CMS dédié
A07:2021

Identification et authentification défaillantes

Élevé

Les mécanismes d'authentification sont faibles ou mal implémentés : mots de passe par défaut, absence de protection anti-brute force, tokens de session prévisibles, absence de double authentification sur les accès sensibles.

Exemple : L'interface d'administration utilise le couple admin/admin. L'endpoint XML-RPC de WordPress est exposé et permet de tester des milliers de mots de passe par requête. Les sessions ne sont pas invalidées après déconnexion.
Détecté par notre audit : OWASP ZAP (sessions, cookies) + détection XML-RPC + WPScan (utilisateurs énumérés)
A08:2021

Défaillances d'intégrité logicielle et des données

Moyen

L'application utilise des ressources externes (CDN, bibliothèques JavaScript) ou des pipelines CI/CD sans vérifier leur intégrité. La désérialisation non sécurisée entre également dans cette catégorie.

Exemple : Un site charge jQuery depuis un CDN tiers sans attribut integrity (SRI). Si le CDN est compromis, du code malveillant est exécuté sur tous les navigateurs des visiteurs. Un cookie sérialisé est accepté sans vérification de signature.
Couvert partiellement : vérification des headers SRI sur les ressources externes, détection de ressources chargées depuis des CDN tiers
A09:2021

Carence des journaux et de la surveillance

Info

L'application ne journalise pas les événements importants (tentatives de connexion, erreurs, actions administratives) ou ne dispose pas de système d'alerte. Le temps moyen de détection d'une intrusion est de 287 jours sans surveillance active.

Exemple : Un attaquant tente 50 000 mots de passe sur la page de connexion sans qu'aucune alerte ne soit déclenchée. Une modification de fichiers sur le serveur passe inaperçue pendant des mois.
Recommandations dans le rapport : bonnes pratiques de journalisation, monitoring et alerting à mettre en place
A10:2021

Falsification de requête côté serveur (SSRF)

Élevé

L'application peut être forcée à envoyer des requêtes vers des ressources internes (réseau privé, services cloud, metadata AWS) au nom de l'attaquant. Nouvelle catégorie en 2021, la SSRF est une menace croissante avec l'adoption du cloud.

Exemple : Un champ "Importer une image depuis une URL" est exploité pour scanner le réseau interne de l'entreprise. Un attaquant accède aux metadata AWS (169.254.169.254) et récupère les clés d'accès du serveur.
Détecté par notre audit : Nuclei (templates SSRF) + OWASP ZAP (détection de redirections côté serveur)

Ce que notre audit détecte

Notre audit à 99 € HT couvre directement 7 des 10 catégories OWASP Top 10 grâce à la combinaison de 5 moteurs d'analyse.

Catégorie Nom Statut Outils
A01 Contrôle d'accès défaillant ✓ Couvert ZAP, Nuclei
A02 Défaillances cryptographiques ✓ Couvert SSL/TLS, Headers
A03 Injection (SQL, XSS) ✓ Couvert ZAP, Nuclei
A04 Conception non sécurisée ≈ Partiel Headers, ZAP
A05 Mauvaise configuration ✓ Couvert ZAP, Nuclei, CMS
A06 Composants vulnérables ✓ Couvert WPScan, Nuclei, NVD
A07 Authentification défaillante ✓ Couvert ZAP, WPScan
A08 Intégrité logicielle ≈ Partiel Headers SRI
A09 Journalisation et surveillance ⓘ Recommandations Rapport
A10 SSRF ✓ Couvert Nuclei, ZAP
🛡
7 catégories couvertes directement, 2 couvertes partiellement, 1 traitée par recommandations dans le rapport. Pour comprendre en détail comment chaque outil intervient, consultez notre page méthodologie d'audit.

Comment tester votre site contre l'OWASP Top 10

Notre audit automatisé combine 5 outils professionnels pour scanner votre site contre les 10 catégories OWASP. Résultat livré en moins de 2 heures.

01
🌐

Entrez votre URL

Saisissez l'adresse de votre site web. Notre plateforme détecte automatiquement le CMS utilisé (WordPress, PrestaShop, Joomla, Drupal...) et adapte les tests.

02
🔍

Scan avec 5 outils

OWASP ZAP teste les injections et contrôles d'accès (A01, A03, A05, A07). Nuclei vérifie les CVE et misconfigs (A05, A06, A10). WPScan et CMSeeK analysent les composants (A06).

03
📊

Rapport avec classification OWASP

Chaque vulnérabilité est classée par catégorie OWASP Top 10 et sévérité CVSS. Le rapport inclut un score global, des recommandations priorisées et les actions correctives à mener.

OWASP ZAP
Nuclei
WPScan
CMSeeK
DefectDojo
NVD API
Lancer mon audit OWASP Top 10 → 99 € HT

Questions fréquentes sur l'OWASP Top 10

L'OWASP Top 10 n'est pas une norme obligatoire en soi, mais il est exigé ou fortement recommandé par de nombreux référentiels de conformité. PCI-DSS l'impose pour les sites traitant des paiements par carte bancaire. La directive européenne NIS2 le cite comme référence de bonnes pratiques pour les opérateurs de services essentiels. En pratique, de nombreux donneurs d'ordres (banques, assurances, grandes entreprises) l'exigent dans leurs cahiers des charges de sécurité.
Chaque vulnérabilité détectée est classée selon deux axes : la sévérité CVSS v3.1 (Critical, High, Medium, Low, Info) et la catégorie OWASP Top 10 correspondante (A01 à A10). Le rapport inclut un score global sur 100 avec une notation lettre (A à F), des graphiques de répartition par sévérité et par source, et des recommandations de remédiation priorisées par impact.
Notre audit couvre directement 7 des 10 catégories grâce à 5 moteurs d'analyse combinés : A01, A02, A03, A05, A06, A07 et A10. Les catégories A04 (conception non sécurisée) et A08 (intégrité logicielle) sont couvertes partiellement par l'analyse des headers et des ressources externes. Pour A09 (journalisation), le rapport fournit des recommandations spécifiques à mettre en oeuvre.
L'OWASP Top 10 se concentre sur les 10 catégories de risques les plus critiques pour les applications web, basées sur des données réelles de centaines de milliers de tests. Le SANS/CWE Top 25 est une liste de 25 faiblesses logicielles (CWE) les plus dangereuses, couvrant un spectre plus large incluant les logiciels desktop, embarqués et mobiles. Les deux référentiels sont complémentaires : l'OWASP Top 10 est le standard de référence pour la sécurité web spécifiquement.
Oui. L'OWASP Top 10 est mis à jour tous les 3 à 4 ans environ. La version actuelle date de 2021 et la version 2025 est en cours de préparation. Chaque mise à jour reflète l'évolution réelle des menaces, basée sur l'analyse de centaines de milliers de tests dans le monde entier. Par exemple, la SSRF (A10) et la conception non sécurisée (A04) sont de nouvelles catégories apparues en 2021, reflétant les menaces liées à l'adoption du cloud et aux architectures modernes.

Testez votre site en moins de 2 heures

99 € HT
5 moteurs d'analyse · Rapport avec classification OWASP · Sans abonnement