OWASP : Open Worldwide Application Security Project
Sécurité
OWASP : Open Worldwide Application Security Project. « Projet ouvert et mondial pour la sécurité des applications », par analogie avec une amicale de serruriers qui publie gratuitement la liste des serrures qu'on crochète le plus souvent.
Qui : L'OWASP est une fondation à but non lucratif et une communauté ouverte consacrée à la sécurité des logiciels. Le nom portait autrefois « Web » à la place de « Worldwide », et l'ancien développé circule encore beaucoup.
Le Top 10 : Sa publication la plus connue classe les grandes familles de failles des applications web, avec une déclinaison pour les API. Il a vocation à sensibiliser ; le brandir comme certificat de conformité, c'est confondre la carte des écueils avec un brevet de navigation.
Au-delà du classement : La fondation publie aussi un référentiel de vérification de la sécurité applicative, des fiches de bonnes pratiques par sujet (stockage des mots de passe, sessions, injections SQL) et des outils de test.
Recommandations : Ses fiches donnent des paramètres concrets, par exemple pour le hachage des mots de passe avec Argon2id, souvent repris tels quels par les équipes de développement.
Ce qui arrive si on s'en passe
Une équipe de développement qui ignore l'OWASP redécouvre seule, et à ses dépens, la liste des failles les plus courantes : injections, sessions mal gérées, mots de passe stockés avec un hachage inadapté. Les fiches de bonnes pratiques donnent pourtant des paramètres concrets, par exemple Argon2id pour le hachage des mots de passe. L'erreur inverse consiste à brandir le Top 10 comme certificat de conformité : une application qui coche les dix cases n'a pas été vérifiée pour autant, et un audit fondé sur ce seul classement laisse passer tout ce qui n'y figure pas. La liste des serrures les plus crochetées est gratuite ; les cambrioleurs l'ont déjà lue.
Explication de la marmotte
Les sites web et les applications ont des points faibles que des malfaiteurs cherchent à exploiter, un peu comme des cambrioleurs qui repèrent les fenêtres mal fermées. Ce groupe de passionnés, présent dans le monde entier, recense gratuitement les erreurs les plus fréquentes et explique comment les éviter. Leur liste des dix problèmes les plus courants est devenue célèbre. Les développeurs s'en servent comme d'un pense-bête pour construire des applications plus difficiles à pirater.
Où ce terme est utilisé
- OWASP Top 10 ASVS ZAP et sécurité applicative (17 occurrences)
- Comment lire un rapport OWASP Top 10 (10 occurrences)
- Attributs du cookie de session (5 occurrences)
- Transformer mots de passe et secrets applicatifs en clés (4 occurrences)
- Apprentissage automatique et réseaux de neurones, attaques du modèle (3 occurrences)
- Configurer un WAF sans casser les fonctions métier (3 occurrences)
- Cross-site scripting (XSS) : mécanisme, variantes et défenses (3 occurrences)
- Test d'intrusion : commander, cadrer et exploiter un pentest (3 occurrences)
- AI Act : exactitude, robustesse et cybersécurité d'une IA à haut risque (article 15) (2 occurrences)
- Authentifier les personnes et les services (2 occurrences)