État des textes au . Nous mettons cette fiche à jour quand la réglementation évolue.
Définition
L'OWASP Top 10 est un référentiel de sensibilisation, maintenu par la fondation Open Worldwide Application Security Project, qui classe les dix catégories de risques de sécurité les plus critiques pour les applications web. Son édition 2025 place en tête le contrôle d'accès défaillant (Broken Access Control), devant les défauts de configuration, et ajoute les défaillances de la chaîne d'approvisionnement logicielle et la mauvaise gestion des conditions exceptionnelles. Il sert de socle commun aux développeurs et aux testeurs.
Pourquoi c'est important
C'est le langage partagé de la sécurité applicative : il oriente les revues de code, les tests et les priorités de correction. C'est une liste de sensibilisation, pas une norme de conformité exhaustive ni une liste de tests complète. L'essor des applications générées ou assistées par IA multiplie les erreurs de contrôle d'accès et d'injection, ce qui remet ces catégories au premier plan. OWASP publie aussi un Top 10 dédié aux applications fondées sur un grand modèle de langage (LLM), qui couvre des risques absents du Top 10 web, comme l'injection de prompt.
Ce que fait AOCSI
Nos pentests web et API couvrent les catégories de l'OWASP Top 10, complétées par des scénarios métier propres à votre application. Nos testeurs enchaînent plusieurs faiblesses pour reproduire un impact réaliste, par exemple accéder au compte d'un autre client via un défaut de contrôle d'accès. Pour les applications qui intègrent de l'IA, nous nous appuyons aussi sur le Top 10 LLM.
Textes et sources
Pôle de rattachementTest d'intrusion / PentestPrestations et prix