OWASP Top 10
L’OWASP Top 10 est une liste mise à jour périodiquement répertoriant les risques de sécurité les plus critiques et les plus courants dans les applications web, établie par des professionnels qui constatent ce qui est réellement exploité dans la pratique. Il ne s’agit pas tant d’une liste de contrôle de conformité que d’une cartographie des points sur lesquels les attaquants concentrent leurs efforts : contrôles d’accès défaillants, failles d’injection, défaillances cryptographiques, erreurs de configuration de sécurité, et le reste de la liste actuelle.
Ce qui justifie de prendre cette liste au sérieux, ce n’est pas sa nouveauté — la plupart de ces catégories de problèmes existent depuis des années —, mais bien leur persistance. Les failles de contrôle d’accès et les injections figurent depuis longtemps en tête de cette liste, car elles apparaissent régulièrement dans des applications réelles, y compris celles développées par des équipes expérimentées, en raison de leur facilité d’introduction et du fait qu’elles passent facilement inaperçues lors d’une révision de code qui ne les recherche pas spécifiquement.
Comment j’évalue par rapport à ce modèle
Je teste votre application au regard de chaque catégorie comme le ferait réellement un pirate — je ne me contente pas de lancer un scanner et de vous transmettre les résultats, mais je vérifie manuellement ce qui est réellement exploitable et ce qu’un scanner a signalé à tort. Les problèmes de contrôle d’accès, en particulier, nécessitent qu’un être humain examine la logique métier réelle, car ils sont rarement détectés de manière fiable par un outil seul.
Où cela s’inscrit-il par rapport aux autres tests ?
L’OWASP Top 10 constitue une bonne base de référence, mais il n’est explicitement pas exhaustif : il recense les risques les plus courants, et non tous les risques potentiels pour votre application spécifique. Pour tout système traitant des données sensibles ou exposé à des menaces importantes, je le considère comme le seuil minimal d’une évaluation, et non comme le seuil maximal, et j’examine en plus les spécificités propres à la logique et à l’architecture de votre application.
Si vous souhaitez connaître le niveau réel de vulnérabilité de votre application web face à ces risques, organisons une évaluation.