Évolution des catégories OWASP Top 10 de 2017 à 2025
(Une partie des informations ci-dessous provient du site de l'OWASP et est distribuée sous la licence CC BY-SA 4.0.)
Comparer uniquement les numéros des catégories peut être trompeur. Entre deux éditions, une catégorie peut changer de position, mais aussi être renommée, élargie, fusionnée avec une autre ou absorbée dans une catégorie plus générale. Les représentations ci-dessous montrent donc une évolution du rang et du périmètre, et non une équivalence exacte entre les catégories.
Cette évolution montre notamment une volonté croissante de décrire les causes profondes plutôt que leurs seuls symptômes. Ainsi, « Exposition de données sensibles » devient « Défaillances cryptographiques » en 2021. De même, XSS ne disparaît pas en 2021 : il est intégré à la catégorie Injection. En 2025, SSRF ne disparaît pas non plus : cette catégorie autonome est absorbée par les Contrôles d'accès défaillants.
Évolution du rang des principales familles
Ce graphique met en avant les thèmes particulièrement utiles pour le cours : autorisation, authentification, mauvaise configuration, cryptographie, composants vulnérables, chaîne d'approvisionnement, injection au sens large, conception et journalisation. Ils forment huit trajectoires, car les composants vulnérables sont absorbés par la chaîne d'approvisionnement en 2025. Le numéro placé sur l'axe vertical correspond au rang de la catégorie dans l'édition concernée. Une ligne montante indique donc une progression vers le haut du classement.
Les traits en pointillés signalent une fusion ou une absorption. En 2021, la famille « Injection » inclut XSS, qui constituait une catégorie distincte en 2017. En 2025, « Composants vulnérables et obsolètes » disparaît comme catégorie autonome et rejoint la catégorie plus large consacrée à la chaîne d'approvisionnement logicielle.
La chaîne d'approvisionnement logicielle n'existait donc pas encore sous ce nom et avec ce périmètre en 2017. Au lieu d'afficher un rang 0, qui pourrait être confondu avec une position supérieure à A01, le graphique montre son précurseur A9:2017 « Utilisation de composants avec des vulnérabilités connues ». Celui-ci devient A06:2021 « Composants vulnérables et obsolètes », puis est absorbé dans A03:2025.
En 2017, les injections occupaient en pratique deux entrées du Top 10 : A1 Injection et A7 Cross-Site Scripting (XSS). La branche rouge en pointillés montre que XSS rejoint A03 Injection en 2021. L'ensemble devient ensuite A05 Injection en 2025. La branche brune en pointillés montre, quant à elle, l'absorption des composants vulnérables par la chaîne d'approvisionnement. Le graphique met également en évidence la progression des contrôles d'accès et de la configuration. Ces positions ne mesurent cependant pas une baisse ou une hausse absolue du nombre d'attaques : la méthodologie, les données et le périmètre des catégories ont eux-mêmes évolué.
Détail des filiations, fusions et nouvelles catégories
Continuité Renommage ou recentrage Fusion ou absorption Nouvelle catégorie ou périmètre fortement élargi
| Top 10:2017 | Évolution vers 2021 | Top 10:2021 | Évolution vers 2025 | Top 10:2025 |
|---|---|---|---|---|
| A5 — Contrôles d'accès défaillants Broken Access Control |
Continuité et passage de A5 à A01 |
A01 — Contrôles d'accès défaillants Broken Access Control |
Catégorie conservée + absorption de SSRF |
A01 — Contrôles d'accès défaillants Broken Access Control |
| — | Nouvelle catégorie en 2021 | A10 — Falsification de requête côté serveur (SSRF) Server-Side Request Forgery |
||
| A6 — Mauvaise configuration de sécurité Security Misconfiguration A4 — Entités externes XML (XXE) XML External Entities |
A6 est conservée + XXE est absorbée |
A05 — Mauvaise configuration de sécurité Security Misconfiguration |
Même périmètre général et passage de A05 à A02 |
A02 — Mauvaise configuration de sécurité Security Misconfiguration |
| A9 — Utilisation de composants avec des vulnérabilités
connues Using Components with Known Vulnerabilities |
Renommage et passage de A9 à A06 | A06 — Composants vulnérables et obsolètes Vulnerable and Outdated Components |
A06 disparaît comme catégorie autonome et est absorbée dans un périmètre plus large | A03 — Défaillances de la chaîne d'approvisionnement
logicielle Software Supply Chain Failures |
| A3 — Exposition de données sensibles Sensitive Data Exposure |
Recentrage du symptôme vers la cause | A02 — Défaillances cryptographiques Cryptographic Failures |
Catégorie conservée et passage de A02 à A04 |
A04 — Défaillances cryptographiques Cryptographic Failures |
| A1 — Injection Injection A7 — Cross-Site Scripting (XSS) Cross-Site Scripting |
Fusion : XSS rejoint Injection | A03 — Injection Injection |
Catégorie conservée et passage de A03 à A05 |
A05 — Injection Injection |
| — | Nouvelle catégorie en 2021 | A04 — Conception non sécurisée Insecure Design |
Catégorie conservée et passage de A04 à A06 |
A06 — Conception non sécurisée Insecure Design |
| A2 — Authentification de mauvaise qualité Broken Authentication |
Périmètre élargi à l'identification | A07 — Identification et authentification de mauvaise
qualité Identification and Authentication Failures |
Intitulé recentré sur l'authentification | A07 — Authentification de mauvaise qualité Authentication Failures |
| A8 — Désérialisation non sécurisée Insecure Deserialization |
Intégration dans une nouvelle catégorie plus large | A08 — Manque d'intégrité des données et du logiciel Software and Data Integrity Failures |
Catégorie conservée avec un léger changement d'intitulé | A08 — Manque d'intégrité des données ou du logiciel Software or Data Integrity Failures |
| A10 — Supervision et journalisation insuffisantes Insufficient Logging & Monitoring |
Périmètre élargi et passage de A10 à A09 | A09 — Carence des systèmes de contrôle et de
journalisation Security Logging and Monitoring Failures |
L'alerte remplace explicitement la surveillance | A09 — Carence des systèmes d'alerte et de
journalisation Security Logging and Alerting Failures |
| — | — | — | Nouvelle catégorie en 2025 | A10 — Mauvaise gestion des conditions
exceptionnelles Mishandling of Exceptional Conditions |
Comment interpréter les changements ?
| Type de changement | Exemple | Interprétation |
|---|---|---|
| Changement de rang | Contrôles d'accès défaillants : A5 en 2017, A01 en 2021 et 2025 | La famille reste identifiable, mais son importance relative dans le classement a changé. |
| Renommage ou recentrage | Exposition de données sensibles devient Défaillances cryptographiques | Le nouvel intitulé décrit davantage la cause du problème que sa conséquence. |
| Fusion | XSS rejoint Injection en 2021 | La vulnérabilité reste couverte, mais elle n'apparaît plus comme catégorie autonome. |
| Absorption | SSRF rejoint les Contrôles d'accès défaillants en 2025 | La catégorie autonome disparaît, mais les CWE et les scénarios concernés sont rattachés à une autre famille. |
| Élargissement | Composants vulnérables et obsolètes devient Défaillances de la chaîne d'approvisionnement logicielle | Le périmètre ne se limite plus aux bibliothèques vulnérables : il inclut aussi les dépôts, la construction et la distribution. |
| Nouvelle catégorie | Conception non sécurisée en 2021 ; Mauvaise gestion des conditions exceptionnelles en 2025 | Le référentiel rend visible un ensemble de faiblesses qui n'était pas représenté par une catégorie autonome dans l'édition précédente. |
À retenir
- Le numéro d'une catégorie indique son rang dans une édition, pas une identité permanente.
- La disparition d'un intitulé ne signifie pas nécessairement la disparition du risque.
- Depuis 2017, les catégories tendent à devenir plus larges et à privilégier les causes profondes.
- Le Top 10 reflète aussi l'évolution des architectures : CI/CD, chaîne d'approvisionnement, alertes et gestion des états exceptionnels prennent davantage de place.
- Pour comparer deux éditions précisément, il faut examiner les CWE associées et pas uniquement les titres.