OWASP Top 10 pour les PME : checklist de sécurité web

Définition

Le Top 10 est un document de sensibilisation qui aide les équipes à se concentrer sur les risques les plus courants des applications web. Chaque catégorie regroupe des faiblesses apparentées. L'édition 2025 actuelle, qui a remplacé la liste de 2021, couvre : le contrôle d'accès défaillant (qui inclut désormais aussi la falsification de requêtes côté serveur, ou SSRF) ; les erreurs de configuration de sécurité ; les défaillances de la chaîne d'approvisionnement logicielle ; les défaillances cryptographiques ; l'injection ; la conception non sécurisée ; les défaillances d'authentification ; les défaillances d'intégrité des logiciels ou des données ; les défaillances de journalisation et d'alerte ; et la mauvaise gestion des conditions exceptionnelles. De nombreux questionnaires et contrats font encore référence à l'édition 2021 ; confirmez donc la version attendue par un client ou un partenaire lorsque vous fixez des exigences. Pour une PME, l'intérêt ne réside pas tant dans la mémorisation de la liste que dans son utilisation comme liste de questions : qui peut voir quoi, comment les mots de passe et les sessions sont gérés, quels composants sont obsolètes, et si quelqu'un remarquerait une attaque en cours.

Public concerné

Cette liste de contrôle s'adresse :

• Aux PME qui exploitent une application web, un portail ou une boutique en ligne accessible aux clients
• Aux fondateurs et managers qui confient le développement à une agence ou à un freelance et doivent poser des questions éclairées
• Aux petites équipes internes sans fonction dédiée à la sécurité
• Aux entreprises qui se préparent à un questionnaire de sécurité client faisant référence à l'OWASP

Ce qu'il aide à clarifier

Passer en revue les catégories permet de clarifier :

• Si les utilisateurs ne peuvent voir et modifier que les données autorisées par leur rôle
• Quelles bibliothèques, extensions et frameworks tiers sont obsolètes ou ne sont plus maintenus
• Si la configuration, les secrets et les messages d'erreur exposent plus qu'ils ne le devraient
• Si la journalisation vous permettrait de remarquer une activité suspecte et d'enquêter

Ce qui est inclus

• Contrôle d'accès : vérifier qu'un utilisateur ne peut pas consulter ni modifier les enregistrements d'un autre client en changeant un identifiant dans l'URL ou la requête, et restreindre les adresses internes ou externes que l'application peut être amenée à appeler
• Cryptographie : confirmer l'usage de HTTPS partout, d'un TLS moderne, et le stockage des mots de passe avec un algorithme de hachage robuste
• Injection : vérifier que les entrées sont validées et que les requêtes de base de données sont paramétrées
• Conception : documenter le comportement attendu des processus sensibles comme la réinitialisation du mot de passe, les paiements et les remboursements, y compris les cas d'abus
• Erreurs de configuration : supprimer les comptes par défaut, désactiver les sorties de débogage et revoir les en-têtes de sécurité
• Chaîne d'approvisionnement : tenir un inventaire des bibliothèques, extensions et outils de build, appliquer les correctifs selon un calendrier défini et supprimer les composants non maintenus
• Authentification : proposer l'authentification multifacteur aux administrateurs et limiter les tentatives de connexion répétées
• Intégrité : protéger les chaînes de build et de déploiement et vérifier que les mises à jour proviennent de sources de confiance
• Journalisation et alerte : enregistrer les connexions, les modifications de droits et les actions d'administration, et s'assurer que les alertes parviennent à une personne qui les examine
• Conditions exceptionnelles : s'assurer que les erreurs, les délais d'expiration et les entrées inattendues échouent de manière sûre, sans exposer de traces de pile ni contourner les contrôles de sécurité

Ce qui n'est pas inclus

• Une déclaration selon laquelle traiter le Top 10 rend une application sécurisée ; c'est un point de départ utile vers une couverture plus large
• Une certification ou une approbation formelle de conformité
• Des techniques d'exploitation pas à pas
• La couverture des risques extérieurs aux applications web, comme les réseaux internes ou la sécurité physique

Quand le choisir

Utilisez la liste de contrôle lorsque vous planifiez de nouvelles fonctionnalités, lorsque vous intégrez un fournisseur de développement et avant un lancement ou une version majeure. Si plusieurs réponses sont « nous ne savons pas », c'est le signe qu'il faut commander une revue indépendante plutôt que de s'appuyer sur des suppositions. Si un client ou un partenaire demande des preuves de tests alignés sur l'OWASP, une revue de sécurité applicative ou un test d'intrusion documenté sera généralement plus convaincant qu'une auto-évaluation.

Notre approche

Commencez par le contrôle d'accès et l'authentification, car c'est souvent là qu'apparaissent les problèmes graves dans les applications métier. Demandez à vos développeurs ou à votre fournisseur d'expliquer comment chaque rôle est appliqué côté serveur, et pas seulement masqué dans l'interface. Inventoriez ensuite les composants et convenez d'une routine de mise à jour. Assurez-vous que les secrets ne sont pas stockés dans les dépôts de code et que les pages d'erreur ne révèlent pas de traces de pile. Pour un regard indépendant, notre service Application Security Review examine les applications web et API convenues au regard des risques applicatifs courants, y compris les catégories OWASP, et fournit des constatations classées par gravité avec des recommandations de remédiation. Si votre préoccupation porte principalement sur un site web basé sur un CMS, le durcissement du site web peut être l'étape la plus proportionnée. Quel que soit votre choix, intégrez la liste de contrôle à votre processus de mise en production afin que chaque changement soit examiné à son aune, plutôt que de traiter la sécurité comme un événement ponctuel avant le lancement.

Application Security Review

Foire aux questions

Articles connexes