Annexe — OWASP Top 10, catégorie par catégorie

⏱ ~25 min · référence

Le Chapitre 8 présente la structure générale de l'OWASP Top 10. Cette annexe développe chacune des dix catégories du document officiel de l'OWASP Foundation — gratuit, mis à jour périodiquement, et l'une des références les plus citées de l'industrie en sécurité web.

A01 — Contrôle d'accès défaillant

La catégorie la plus fréquemment rencontrée en pratique. Elle regroupe tout ce qui permet à un utilisateur d'agir en dehors des permissions prévues : modifier l'URL pour accéder aux données d'un autre utilisateur (référence directe non sécurisée à un objet), contourner des vérifications d'autorisation côté client uniquement, ou élever ses propres privilèges sans validation côté serveur.

A02 — Défaillances cryptographiques

Regroupe les problèmes liés à la protection des données sensibles : transmission en clair au lieu de HTTPS, algorithmes de hachage obsolètes pour les mots de passe (MD5, SHA-1 sans salage), clés de chiffrement codées en dur dans le code source. Renommée depuis « exposition de données sensibles » pour insister sur la cause (mauvaise cryptographie) plutôt que sur le symptôme.

A03 — Injection

Toute situation où une entrée utilisateur non validée est interprétée comme du code par un interpréteur — SQL (voir Chapitre 8.3), mais aussi injection de commandes système, LDAP, ou NoSQL. Le principe de contre-mesure est identique dans tous les cas : séparer strictement les données des commandes (requêtes préparées, listes blanches de validation).

A04 — Conception non sécurisée

Catégorie plus récente, qui distingue un défaut de conception (l'architecture elle-même est vulnérable, indépendamment de son implémentation) d'un défaut d'implémentation. Exemple : un système de réinitialisation de mot de passe qui repose uniquement sur des questions de sécurité devinables est mal conçu, même si le code est parfaitement écrit.

A05 — Mauvaise configuration de sécurité

La catégorie la plus large : comptes par défaut non désactivés, messages d'erreur trop verbeux révélant des détails d'implémentation, en-têtes de sécurité HTTP absents (CSP, HSTS), permissions cloud excessives (voir Chapitre 10). Souvent le résultat d'une négligence opérationnelle plutôt que d'une faille de code.

A06 — Composants vulnérables et obsolètes

Utiliser une bibliothèque, un framework ou un système d'exploitation dont une vulnérabilité connue (CVE) n'a pas été corrigée. Le risque a explosé avec la généralisation des dépendances open source — un projet web moderne dépend souvent de centaines de paquets tiers, chacun une surface d'attaque potentielle.

A07 — Défaillances d'identification et d'authentification

Regroupe les faiblesses du processus de connexion lui-même : absence de limitation du nombre de tentatives (permettant le bourrage d'identifiants), mots de passe faibles acceptés sans politique, sessions qui n'expirent jamais, absence d'authentification multifacteur pour les comptes sensibles.

A08 — Défaillances d'intégrité des logiciels et des données

Catégorie ajoutée pour couvrir les risques liés aux mises à jour et à la chaîne d'approvisionnement logicielle : code ou mises à jour appliqués sans vérification d'intégrité (signature), désérialisation de données non fiables permettant l'exécution de code arbitraire.

A09 — Défaillances de journalisation et de surveillance

Absence de journalisation suffisante pour détecter une intrusion en cours, ou journaux jamais surveillés activement. Une organisation peut être compromise pendant des mois sans le savoir si les événements suspects ne génèrent jamais d'alerte — un problème d'exploitation plus que de code, mais qui appartient bien au domaine de la sécurité applicative.

A10 — Falsification de requête côté serveur (SSRF)

Se produit quand une application web récupère une ressource distante à partir d'une URL fournie par l'utilisateur, sans validation suffisante — permettant à un attaquant de forcer le serveur à effectuer des requêtes vers des systèmes internes normalement inaccessibles depuis l'extérieur (métadonnées cloud, services internes). Catégorie ajoutée récemment face à la fréquence croissante de ce type d'attaque dans les architectures cloud modernes.