OWASP Top 10:2025 : les fondamentaux qui permettent de comprendre les failles d'aujourd'hui
Avant l'IA, il fallait comprendre le modèle OSI et le langage machine. Ce socle reste ce qui distingue un vrai pentester d'un exécutant assisté.
Analyse 2LKATIME
L'OWASP est un référentiel que j'utilise depuis longtemps dans mes audits, bien avant que l'IA générative n'entre dans le paysage. Ce recul change la façon d'aborder ce classement.
Le risque pour un dirigeant : confondre exécutant et expert
La cybersécurité est devenue un sujet à la mode, et l'IA permet à des profils encore débutants de produire des rapports d'audit qui ont l'air sérieux. Savoir distinguer un vrai pentester d'un exécutant assisté par l'IA n'est plus un détail, c'est ce qui protège réellement votre entreprise.
Beaucoup d'articles en ligne, y compris certains outils de référencement, citent encore l'OWASP Top 10 2021 comme le classement en vigueur. Ce n'est plus le cas depuis janvier 2026 : l'OWASP a publié sa première révision majeure en quatre ans, le Top 10:2025, avec deux nouvelles catégories et un classement remanié.
On y revient en détail, avec un angle un peu différent des résumés habituels : pourquoi ce classement compte, ce qui a vraiment changé, et pourquoi comprendre les fondamentaux reste plus utile que de savoir nommer un outil de scan.
1. OWASP, un repère que j'utilise depuis longtemps
J'ai appris ce métier à une époque où l'intelligence artificielle générative n'existait pas encore. Comprendre une faille supposait de comprendre le modèle OSI couche par couche, de savoir lire du langage machine, de suivre à la main ce qui se passait entre une requête et une réponse. L'OWASP Top 10 s'inscrivait dans ce même exercice : pas une liste à réciter, mais un classement qu'on comprenait parce qu'on avait déjà creusé les mécanismes qu'il décrit.
L'OWASP (Open Worldwide Application Security Project) est une organisation à but non lucratif qui documente, depuis plus de vingt ans, les risques de sécurité les plus critiques pour les applications web. Son Top 10 sert de référence dans la quasi-totalité des audits de sécurité, des cahiers des charges de pentest et des démarches de conformité, en France comme ailleurs.
2. Le nouveau classement OWASP Top 10:2025
Finalisée en janvier 2026, cette édition est la première révision majeure depuis 2021. Deux catégories font leur entrée, une autre change fortement de position. Voici le classement complet.
| Rang | Catégorie |
|---|---|
| A01 | Contrôle d'accès défaillant |
| A02 | Mauvaise configuration de sécurité |
| A03 | Défaillances de la chaîne d'approvisionnement logicielle (nouveau) |
| A04 | Défaillances cryptographiques |
| A05 | Injection |
| A06 | Conception non sécurisée |
| A07 | Défaillances d'authentification |
| A08 | Défaillances d'intégrité des logiciels et des données |
| A09 | Défaillances de journalisation et d'alerte |
| A10 | Mauvaise gestion des conditions exceptionnelles (nouveau) |
Le changement le plus visible : la mauvaise configuration de sécurité, autrefois en cinquième position, grimpe à la deuxième place. Le contrôle d'accès défaillant absorbe désormais les failles de type SSRF (falsification de requête côté serveur), auparavant classées séparément.
3. Ce qui change vraiment : la chaîne d'approvisionnement logicielle entre dans le classement
La nouveauté la plus significative pour une PME ou une TPE, c'est l'arrivée de la catégorie A03, les défaillances de la chaîne d'approvisionnement logicielle. Une application moderne repose rarement sur du code écrit entièrement en interne : elle s'appuie sur des dizaines de librairies, paquets npm, dépendances open source et intégrations tierces. Une seule dépendance vulnérable ou compromise suffit à exposer tout le système, même si le code métier lui-même est irréprochable.
C'est particulièrement vrai sur les projets d'automatisation no-code (n8n, Make) et les architectures qui s'appuient sur des agents IA connectés à des outils externes : chaque connecteur, chaque paquet ajouté rapidement pour gagner du temps est une porte potentielle. Ce n'est pas une hypothèse théorique : c'est le type de faille qu'on retrouve concrètement en intervenant sur des configurations existantes, souvent héritées d'un prestataire pressé de livrer plutôt que de sécuriser.
Un outil comme OWASP Dependency-Check permet de scanner automatiquement ses dépendances pour repérer les paquets connus comme vulnérables, un premier réflexe avant tout audit complet.
4. Comprendre plutôt qu'exécuter : ce que l'IA change (et ne change pas)
L'IA est devenue un assistant précieux pour accélérer un audit : générer des payloads de test, résumer un rapport, suggérer des pistes. Mais un assistant reste un outil qu'il faut comprendre pour l'utiliser correctement, pas une source de vérité à suivre aveuglément. Un rapport de scan généré par une IA peut lister dix failles théoriques dont deux seulement sont réellement exploitables dans le contexte précis d'un site ; distinguer les deux demande la même compréhension technique qu'avant, pas moins.
La catégorie A05, l'injection, illustre bien ce point. C'est une des failles les plus anciennes du classement OWASP, et c'est exactement le même principe qui se rejoue aujourd'hui dans l'injection de prompt sur les agents IA : une entrée non fiable qui détourne le comportement attendu d'un système. Comprendre l'injection classique, c'est déjà comprendre la moitié du problème des failles IA actuelles.
5. Dix ans pour devenir senior, six mois pour se dire prêt
Il fallait autrefois plus de dix ans de pratique pour qu'un pentester soit reconnu comme senior et qu'un client puisse lui accorder une vraie confiance. La cybersécurité est aujourd'hui un sujet à la mode, et l'IA permet à des profils encore débutants de produire, en quelques mois, des livrables qui ont l'apparence du sérieux sans en avoir toujours le fond. Ce n'est pas un problème d'outils, c'est un problème de repère : un exécutant qui sait lancer un scan et reformuler son résultat avec une IA n'a pas nécessairement la compréhension nécessaire pour distinguer un faux positif d'une faille réellement critique pour votre activité.
Pour un dirigeant qui recrute un prestataire, un signal simple : demandez-lui d'expliquer une faille sans se limiter au nom d'un outil ou d'une catégorie OWASP. S'il ne peut pas détailler ce qui se passe techniquement derrière un résultat de scan, c'est un signal d'alerte plus fiable que n'importe quelle certification récente.
6. OWASP et conformité : RGPD, NIS2, AI Act
L'article 32 du RGPD impose de mettre en œuvre des mesures de sécurité correspondant à "l'état de l'art", une formulation volontairement large que les autorités et les auditeurs interprètent souvent à travers des référentiels reconnus comme l'OWASP Top 10. La directive NIS2, qui élargit le champ des entreprises soumises à des obligations de cybersécurité, s'appuie sur la même logique de référentiels documentés plutôt que de bonnes pratiques vagues. Et les catégories liées à l'injection ou à la conception non sécurisée prennent une dimension supplémentaire avec l'AI Act, qui impose une gouvernance renforcée pour les systèmes d'IA à risque, y compris sur leurs vulnérabilités techniques propres.
Comment 2LKATIME vous accompagne
Un classement, aussi à jour soit-il, ne remplace pas un audit mené par quelqu'un qui comprend ce qu'il regarde. Nous accompagnons les entreprises de Paris, de Lyon et de Bordeaux avec des audits fondés sur l'OWASP Top 10:2025, en particulier sur les risques de chaîne d'approvisionnement logicielle propres aux projets d'automatisation et d'IA.
FAQ - OWASP Top 10:2025
Qu'est-ce que l'OWASP Top 10 ?
C'est le classement de référence des risques de sécurité les plus critiques pour les applications web, maintenu par l'OWASP, une organisation à but non lucratif. Il sert de référentiel dans la plupart des audits de sécurité et des démarches de conformité.
Quelle est la différence entre l'OWASP Top 10 2021 et 2025 ?
L'édition 2025, finalisée en janvier 2026, est la première révision majeure depuis 2021. Elle ajoute deux nouvelles catégories : les défaillances de la chaîne d'approvisionnement logicielle et la mauvaise gestion des conditions exceptionnelles. La mauvaise configuration de sécurité passe de la 5e à la 2e place.
Pourquoi la chaîne d'approvisionnement logicielle est-elle un nouveau risque majeur ?
Une application moderne repose sur des dizaines de librairies et paquets externes (npm, pip, etc.). Une seule dépendance vulnérable ou compromise suffit à exposer tout le système, même si le code écrit en interne est irréprochable. C'est un risque particulièrement fréquent sur les projets no-code et d'automatisation.
Un outil de scan automatique suffit-il à couvrir l'OWASP Top 10 ?
Non. Un scanner automatique détecte une partie des failles connues, mais ne comprend pas le contexte métier ni les failles de logique applicative. Il complète un audit humain, il ne le remplace pas.
Comment savoir si mon prestataire cybersécurité maîtrise vraiment ces fondamentaux ?
Demandez-lui d'expliquer une faille sans se limiter au nom d'un outil : s'il ne peut pas détailler ce qui se passe techniquement derrière un scan, c'est un signal d'alerte. Une certification récente ne remplace pas des années de pratique sur des cas réels.
Votre dernier audit se base-t-il encore sur l'édition 2021 ?
Faites le point sur votre exposition réelle aux risques de l'OWASP Top 10:2025, en particulier la chaîne d'approvisionnement logicielle.