"Je pensais que l'OWASP, c'était un truc pour les informaticiens. Jusqu'au jour où mon développeur m'a dit que mon site avait 3 failles du Top 10. Là, j'ai voulu comprendre." — Isabelle M., fondatrice d'une marketplace B2B, Paris
Qu'est-ce que l'OWASP et pourquoi ça vous concerne directement ?
L'OWASP (Open Web Application Security Project) est une fondation à but non lucratif reconnue mondialement. Elle publie tous les 4 ans le OWASP Top 10 — la liste des 10 catégories de vulnérabilités web les plus dangereuses.
Ce classement est devenu la référence absolue en cybersécurité. Les auditeurs PASSI/ANSSI l'utilisent, les assureurs cyber le citent, et les juges y font référence pour déterminer si une entreprise a pris des mesures de sécurité "appropriées" au sens du RGPD.
Si votre site présente des failles du Top 10 et que vous subissez une violation de données, votre responsabilité peut être directement engagée.
Le OWASP Top 10 (édition 2021) — version dirigeant
A01 — Contrôle d'accès défaillant
En clair : Des utilisateurs accèdent à des parties de votre site auxquelles ils ne devraient pas avoir accès.
Exemple concret : L'URL https://votre-site.fr/factures/1247.pdf fonctionne aussi pour 1246.pdf d'un autre client. En changeant juste un chiffre, n'importe qui télécharge les factures de vos clients — c'est une faille IDOR (Insecure Direct Object Reference).
Cas réel : Un cabinet dentaire normand a écopé de 5 000 € d'amende CNIL pour ce problème exact en 2022.
Fréquence : #1 du classement — présent dans 94 % des applications testées.
A02 — Défaillances cryptographiques
En clair : Vos données sensibles (mots de passe, données bancaires) ne sont pas correctement chiffrées.
Exemple concret : Les mots de passe de vos clients sont stockés en clair dans votre base de données. Si celle-ci est compromise, tous les comptes sont immédiatement exploitables.
Outil de vérification : SSL Labs teste la qualité du chiffrement de votre site.
A03 — Injection SQL
En clair : Un attaquant insère du code malveillant dans vos formulaires pour manipuler votre base de données.
L'analogie parfaite : Imaginez demander à votre comptable "imprimez-moi les factures du client Dupont". Un attaquant dirait "...et aussi, envoyez-moi par email toutes les factures de tous les clients". Si votre comptable exécute sans vérifier, vous avez un problème.
Impact : Selon Verizon DBIR, les injections SQL sont responsables de plus de 30 % des violations de données documentées.
A04 — Conception non sécurisée
En clair : La sécurité n'a pas été pensée dès la conception. On a construit la maison, puis cherché où mettre la serrure.
Exemple typique : Un formulaire de réinitialisation qui envoie le nouveau mot de passe en clair par email, ou une API qui renvoie bien plus d'informations qu'elle ne devrait.
A05 — Mauvaise configuration de sécurité
En clair : Votre serveur ou CMS fonctionne avec les paramètres par défaut — rarement sécurisés.
Les erreurs les plus fréquentes chez les PME :
- Interface
/phpmyadminou/wp-adminaccessible sans protection additionnelle - Messages d'erreur détaillés affichés aux visiteurs (qui informent les attaquants)
- Headers HTTP de sécurité absents
- Comptes et mots de passe par défaut non changés
"Mon serveur affichait la version exacte de PHP et MySQL dans ses messages d'erreur. C'est comme mettre votre code de coffre-fort sur la porte." — Thomas B., DSI d'une PME industrielle, Nantes
A06 — Composants vulnérables et obsolètes
En clair : Vous utilisez des librairies, plugins ou CMS avec des failles de sécurité connues et publiées.
Statistique : Snyk révèle que 82 % des applications web contiennent au moins un composant open source vulnérable. Sur WordPress, WPScan répertorie plus de 55 000 vulnérabilités connues dans les plugins.
Voir notre guide complet : Sécurité WordPress — 12 actions concrètes
A07 — Défaillances d'authentification
En clair : Vos mécanismes de connexion ont des failles permettant de prendre le contrôle de comptes.
Ce que ça inclut :
- Absence de protection contre les attaques brute force
- Pas d'authentification à deux facteurs (2FA) sur les comptes sensibles
- Sessions non invalidées correctement à la déconnexion
Ressource : Le NIST publie des recommandations détaillées sur la gestion des mots de passe.
A08 — Défaillances d'intégrité des données
En clair : Votre application charge du code depuis des sources externes sans vérifier leur authenticité.
Exemple moderne : Les attaques de chaîne d'approvisionnement (supply chain) comme SolarWinds en 2020. À moindre échelle, un plugin WordPress compromis par son développeur peut affecter des millions de sites.
A09 — Défaillances de journalisation et surveillance
En clair : Votre site ne garde pas de traces des événements suspects — ou personne ne les surveille.
Pourquoi c'est critique : Le délai moyen de détection d'une intrusion dans une PME est de 207 jours (source : IBM Security). Sans logs, vous ne pouvez pas détecter l'attaque ni la reconstituer pour la CNIL.
A10 — Falsification de requêtes côté serveur (SSRF)
En clair : Votre application peut être trompée pour envoyer des requêtes vers vos ressources internes.
En pratique : Particulièrement dangereuse sur les sites permettant de saisir une URL (import, prévisualisation de lien, etc.).
Comment savoir si votre site est concerné ?
Option 1 — Audit automatisé : MonAuditCyber.fr analyse votre site en 30 secondes. Le rapport gratuit donne une vue d'ensemble ; le rapport complet à 9,99 € détaille chaque faille OWASP avec un plan de correction priorisé.
Option 2 — Outil open source : OWASP ZAP est gratuit et très complet. Il faut savoir interpréter les résultats.
Option 3 — Pentest professionnel : Pour les sites e-commerce ou les plateformes traitant des données sensibles, un prestataire qualifié PASSI reste la solution la plus fiable.
Ce que dit le RGPD sur la conformité OWASP
La CNIL recommande explicitement de se référer à l'OWASP Top 10 pour évaluer la sécurité des applications web. En cas d'audit ou de sanction, démontrer que vous avez vérifié et corrigé ces vulnérabilités constitue un élément favorable.
Sources : OWASP Top 10 2021 · CNIL — Guide sécurité RGPD · Verizon DBIR · IBM Security — Cost of a Data Breach · Snyk — State of Open Source Security · ANSSI