Glosario · Seguridad
OWASP Top 10
También llamado: OWASP Top Ten, lista OWASP Top 10, OWASP top 10 list
Definición
Lista de concienciación de OWASP con las diez categorías de riesgo de seguridad más críticas en aplicaciones web, muy usada para delimitar pruebas de seguridad y revisiones.
El OWASP Top 10 es un documento del Open Worldwide Application Security Project que clasifica las categorías más críticas de riesgo de seguridad en aplicaciones web, a partir de datos de vulnerabilidades y de aportaciones de la comunidad. Es un documento de concienciación, no un estándar completo: te dice dónde mirar primero, mientras que un marco como el OWASP Application Security Verification Standard (ASVS) ofrece requisitos detallados y verificables.
La lista de 2021
| ID | Categoría | Qué comprueba un tester, por ejemplo |
|---|---|---|
| A01 | Pérdida de control de acceso (Broken Access Control) | ¿Puede el usuario A leer o cambiar los datos del usuario B? ¿Puede un usuario normal llamar a endpoints de administración? |
| A02 | Fallos criptográficos (Cryptographic Failures) | Datos sensibles enviados por HTTP sin cifrar, hashing de contraseñas débil, secretos en las respuestas |
| A03 | Inyección (Injection) | Inyección SQL, de comandos y NoSQL; el cross-site scripting se agrupa aquí |
| A04 | Diseño inseguro (Insecure Design) | Faltan límites en la lógica de negocio, como reutilizar cupones sin límite |
| A05 | Configuración de seguridad incorrecta (Security Misconfiguration) | Credenciales por defecto, stack traces detallados, almacenamiento en la nube abierto, cabeceras ausentes |
| A06 | Componentes vulnerables y desactualizados (Vulnerable and Outdated Components) | Dependencias con CVE conocidos |
| A07 | Fallos de identificación y autenticación (Identification and Authentication Failures) | Gestión de sesiones débil, sin protección contra fuerza bruta, restablecimiento de contraseña defectuoso |
| A08 | Fallos de integridad de software y datos (Software and Data Integrity Failures) | Actualizaciones sin firmar, deserialización insegura, entradas de CI/CD no confiables |
| A09 | Fallos de registro y monitorización de seguridad (Security Logging and Monitoring Failures) | Inicios de sesión fallidos y accesos denegados que no se registran ni generan alertas |
| A10 | Falsificación de solicitudes del lado del servidor (Server-Side Request Forgery, SSRF) | Un parámetro de URL que hace que el servidor obtenga direcciones internas |
OWASP actualiza la lista cada pocos años. Consulta owasp.org para conocer la edición vigente antes de citar números de categoría en un informe, porque las posiciones y agrupaciones cambian entre versiones.
Cómo la usan los testers
- Delimitación del alcance. Asigna cada categoría a comprobaciones concretas para tu aplicación y luego decide cuáles automatizar, cuáles cubrir manualmente y cuáles corresponden a una prueba de penetración especializada.
- Automatización donde encaja. Las comprobaciones de control de acceso (dos usuarios, intercambiar IDs, esperar
403o404) y el escaneo de dependencias funcionan bien en CI. Los escáneres dinámicos como OWASP ZAP pueden ejecutarse contra staging.
Errores comunes
Tratar la lista como un checklist que, una vez marcado, significa “seguro”, y confundirla con las listas Top 10 separadas de OWASP para APIs y aplicaciones LLM, que tienen sus propias categorías.
Prueba únicamente sistemas que sean tuyos o para los que tengas autorización por escrito.