OWASP Top 10 expliqué simplement aux dirigeants de PME

L’OWASP Top 10 est une liste, publiée par l’organisation à but non lucratif OWASP, des dix catégories de risques de sécurité les plus critiques pour les applications web. Ce n’est pas une norme légale ni une certification : c’est une référence de sensibilisation, très utilisée par les développeurs et les auditeurs. Pour un dirigeant, elle sert à poser les bonnes questions à son prestataire et à comprendre les rapports d’audit.

La version la plus récente publiée par l’OWASP, vérifiée sur le site du projet, est l’édition 2025. Ses catégories sont détaillées sur top10.owasp.org/2025. Elles regroupent des types de failles, pas des failles précises : chaque catégorie recouvre de nombreux cas.

Qu’est-ce que l’OWASP, et à quoi sert son Top 10 ?

L’OWASP (Open Worldwide Application Security Project) est une communauté ouverte qui publie des guides, des outils et des référentiels gratuits sur la sécurité des logiciels. Son Top 10 est un document de sensibilisation : il classe des catégories de risques à partir de données et de retours de la communauté, et il est révisé de temps en temps. L’édition 2025 est la version en vigueur à la date de rédaction de cet article ; consultez le site officiel pour savoir si une nouvelle version a paru depuis.

Citer le Top 10 dans un rapport ne signifie pas que le test était complet : il aide à structurer, il ne remplace ni la méthode d’audit ni l’expérience. Les guides détaillés de l’OWASP, comme le Web Security Testing Guide, vont plus loin.

Quelles sont les dix catégories de l’édition 2025 ?

Voici la liste officielle, avec une explication non technique de chaque catégorie.

Que signifient ces catégories pour un site de PME ?

Toutes ne pèsent pas autant selon votre site. Voici des repères.

Contrôle d’accès (A01). Dès qu’il y a des comptes (espace client, devis en ligne), c’est le premier point à tester : un client peut-il changer un numéro dans l’adresse et voir la commande d’un autre ?

Mauvaise configuration (A02). C’est le risque le plus fréquent sur les petits sites : interface d’administration accessible à tous, listing de dossiers, versions affichées. Il se corrige par des revues de configuration.

Chaîne d’approvisionnement logicielle (A03). Un site WordPress avec vingt extensions dépend de vingt auteurs. Chaque composant abandonné ou non mis à jour est un risque. C’est un argument pour la maintenance régulière.

Injection (A05). Elle concerne les formulaires et les recherches du site. Un développeur sérieux utilise des méthodes qui séparent les données des instructions.

Défaillances d’authentification (A07). Mots de passe faibles, absence de double authentification sur l’administration : voir la double authentification en entreprise.

Journalisation (A09). Sans traces, impossible de savoir si, quand et comment un site a été attaqué.

Comment utiliser le Top 10 dans la pratique ?

Servez-vous-en comme grille de dialogue, pas comme grille de score.

1. Demandez à votre prestataire comment chaque catégorie est prise en compte sur votre site (contrôle des droits, mise à jour des composants, journaux).
2. Lisez les rapports d’audit en repérant les catégories citées et les failles associées. Une même catégorie peut regrouper plusieurs failles.
3. Priorisez par exposition : un site sans compte utilisateur a moins de risques en A01 qu’un espace client.
4. Intégrez-le au cahier des charges d’une nouvelle application. Notre guide du cahier des charges d’un site web peut accueillir une section sécurité.
5. Vérifiez dans le temps : un contrôle à la livraison, puis lors de chaque évolution importante.

Le Top 10 suffit-il à garantir la sécurité d’un site ?

Non. C’est un point de départ. Il ne couvre pas tous les risques (hébergement, messagerie, comptes, ingénierie sociale) et il ne dit pas comment corriger dans votre contexte. Un site « conforme au Top 10 » peut contenir des failles hors liste ; l’inverse est aussi vrai. Aucune démarche ne garantit une sécurité totale ; l’objectif est de réduire les risques identifiés.

Pour aller plus loin, notre audit de sécurité du site web s’appuie sur des référentiels de ce type, et le test d’intrusion vérifie par l’attaque simulée que les mesures tiennent. Notre page cybersécurité décrit l’ensemble de la démarche. L’article audit de sécurité d’un site web : la checklist pour PME donne les contrôles que vous pouvez faire vous-même.

Comment lire un rapport d’audit qui cite le Top 10 ?

Un rapport mentionne souvent, pour chaque faille, la catégorie correspondante (par exemple « A01 : contrôle d’accès défaillant »). Cette étiquette aide à regrouper les constats, mais ce sont la gravité, la facilité d’exploitation et les données exposées qui décident de l’ordre de correction. Demandez toujours : où se trouve la faille, comment la reproduire, quel est l’impact concret pour votre activité et quelle correction est proposée. Une catégorie sans exemple précis sur votre site est un indicateur, pas un constat.

Pensez aussi à demander ce qui n’a pas été testé. Un rapport qui couvre dix catégories sur un périmètre restreint ne dit rien du reste de votre système d’information.

Questions fréquentes sur l’OWASP Top 10

Le Top 10 est-il obligatoire ?

Non, aucune loi ne l’impose en tant que tel. Certains clients ou cahiers des charges le citent toutefois comme référence ; vérifiez la version demandée dans votre contrat.

Faut-il toujours viser la version la plus récente ?

La version la plus récente reflète l’état actuel des risques. Si un contrat mentionne une édition précédente, demandez à votre prestataire de préciser laquelle il utilise, et si les écarts avec la dernière édition sont couverts.

Mon site vitrine est-il concerné ?

Oui, mais différemment. Sans compte ni base de données exposée, certaines catégories pèsent peu ; la configuration, les composants tiers et les accès d’administration restent des points d’attention.

Si ces notions vous paraissent encore floues, parlons de votre site : nous pouvons vous aider à identifier les catégories qui comptent le plus pour votre activité.