¿Qué es el OWASP Top 10?
Un desarrollador sube código un viernes por la tarde. Para el lunes, un atacante ha manipulado un parámetro de API, accedido a registros de clientes y los ha exfiltrado mediante una falla de control de acceso que una simple verificación de autorización habría detenido. Este es el tipo de vulnerabilidad que el OWASP Top 10 existe para prevenir.
La OWASP Foundation define el OWASP Top 10 como "un documento estándar de concienciación para desarrolladores y seguridad de aplicaciones web. Representa un amplio consenso sobre los riesgos de seguridad más críticos para las aplicaciones web." La lista ha pasado por múltiples ediciones, y la introducción de 2025 introdujo cambios estructurales que reflejan cómo ha cambiado el panorama de la seguridad de aplicaciones.
NIST y el equipo de contenido MITRE CWE hacen referencia formalmente a las categorías del OWASP Top 10 en sus propios marcos. Si dirige un programa de seguridad, desarrolla aplicaciones o gestiona la respuesta a vulnerabilidades, el OWASP Top 10 es la base que sus partes interesadas esperan que aborde. Aquí se detalla lo que cubre la edición actual y cómo cada categoría se aplica a su entorno.
Las categorías del OWASP Top 10 de 2025
La edición de 2025 reorganizó prioridades basándose en datos del mundo real. Aquí están las diez categorías en su clasificación actual, con los cambios relevantes para su programa de seguridad.
A01: Broken Access Control
Sigue siendo la categoría principal, con un 3,73% de las aplicaciones evaluadas mostrando al menos una falla relacionada. El control de acceso roto permite a los usuarios actuar fuera de sus permisos previstos, ya sea modificando un parámetro de URL para ver los registros de otro usuario, escalando privilegios mediante la manipulación de tokens JWT o eludiendo por completo las restricciones a nivel de función. Esto abarca referencias directas inseguras a objetos (IDOR), controles de acceso ausentes y configuraciones incorrectas de CORS. SSRF, anteriormente una categoría independiente, ahora se consolida aquí.
A02: Security Misconfiguration
Subió desde el puesto #5 en 2021, reflejando cuánto depende el comportamiento de las aplicaciones modernas de la configuración en lugar del código. Esta categoría abarca credenciales predeterminadas sin cambiar, servicios innecesarios expuestos, mensajes de error detallados que filtran trazas de pila y encabezados de seguridad ausentes. Los entornos en la nube y los despliegues en contenedores han amplificado el riesgo porque cada nuevo servicio, gateway de API o Kubernetes introduce su propia superficie de configuración.
A03: Software Supply Chain Failures
El cambio estructural más notable en la edición de 2025. Anteriormente limitada a "Componentes vulnerables y desactualizados", esta categoría ahora cubre todo el ecosistema de dependencias de software, sistemas de construcción e infraestructura de distribución. Los atacantes apuntan cada vez más a pipelines CI/CD, herramientas de desarrollo, registros de contenedores y paquetes de código abierto ampliamente utilizados en lugar del código de la aplicación directamente. A pesar de menos ocurrencias en los datos, esta categoría tiene los puntajes promedio más altos de explotación e impacto en el conjunto de datos de 2025.
A04: Cryptographic Failures
Renombrada de "Exposición de datos sensibles" para centrarse en las causas raíz en lugar de los síntomas. Esta categoría abarca datos transmitidos en texto claro, funciones hash obsoletas (MD5, SHA1), contraseñas usadas como claves criptográficas y aleatoriedad insuficiente. Cuando fallan las protecciones criptográficas, los atacantes pueden interceptar credenciales en tránsito, descifrar datos almacenados o falsificar tokens de autenticación. El cambio de nombre refleja el enfoque más amplio de OWASP hacia abordar por qué se exponen los datos en lugar de catalogar eventos de exposición después del hecho.
A05: Injection
La inyección ocurre cuando una aplicación pasa entrada no confiable a un intérprete sin la validación o escape adecuados, permitiendo a los atacantes ejecutar comandos no previstos. SQL injection, cross-site scripting (XSS), inyección de comandos del sistema operativo y LDAP injection entran en esta categoría. Aunque la inyección bajó del puesto #3 al #5 en el ranking de 2025, sigue teniendo uno de los mayores números de CVEs asociados y sigue siendo una causa principal de filtraciones de datos cuando se descuida el manejo de entradas.
A06: Insecure Design
Esta categoría aborda fallas a nivel de arquitectura y diseño en lugar de errores de implementación. Un flujo débil de restablecimiento de contraseña, un paso de autorización ausente en un flujo de trabajo de negocio o la ausencia de limitación de tasa en un endpoint sensible son todas decisiones de diseño, y ninguna cantidad de codificación segura puede corregir un diseño fundamentalmente inseguro. OWASP introdujo esta categoría para enfatizar el modelado de amenazas, patrones de diseño seguro y actividades de seguridad previas al código. Su descenso del puesto #4 al #6 en 2025 sugiere que la industria está mejorando gradualmente en esta área.
A07: Identification and Authentication Failures
Esta categoría abarca debilidades que permiten a los atacantes comprometer identidades de usuarios: ataques de relleno de credenciales, ataques de fuerza bruta contra contraseñas débiles, ausencia de autenticación multifactor (MFA) y fallas en la gestión de sesiones como tokens de sesión predecibles o invalidación incorrecta. El análisis de OWASP señala que el uso creciente de marcos de autenticación estandarizados está teniendo un efecto positivo en las tasas de ocurrencia, aunque las credenciales robadas siguen siendo uno de los vectores de acceso inicial más comunes en incidentes.
A08: Software or Data Integrity Failures
Esta categoría apunta a suposiciones de confianza en actualizaciones de software, pipelines CI/CD y serialización de datos. Cuando las aplicaciones se actualizan automáticamente sin verificar firmas, obtienen dependencias de fuentes no verificadas o deserializan datos no confiables sin validación, los atacantes pueden inyectar código malicioso que se ejecuta con todos los privilegios de la aplicación. La categoría también abarca la integridad del pipeline CI/CD, donde un paso de construcción comprometido puede enviar artefactos maliciosos a producción sin ser detectado.
A09: Security Logging and Alerting Failures
El cambio de nombre de "Security Logging and Monitoring Failures" es deliberado: "Alerting" reemplaza a "Monitoring" porque, según la introducción de 2025 de OWASP, "un gran registro sin alertas tiene un valor mínimo" para identificar incidentes de seguridad. Sin alertas accionables vinculadas a fuentes de logs, las brechas pasan desapercibidas mientras la evidencia permanece almacenada. Esta categoría también abarca detalles insuficientes en los logs, ausencia de trazas de auditoría para acciones sensibles y logs que no capturan eventos de autenticación o control de acceso.
A10: Mishandling of Exceptional Conditions
Nueva en la edición de 2025, esta categoría aborda lo que sucede cuando las aplicaciones encuentran entradas inesperadas, escasez de recursos, timeouts o fallas internas. Un mal manejo de excepciones puede filtrar datos sensibles mediante trazas de pila detalladas, eludir controles de seguridad mediante lógica fail-open o crear condiciones de denegación de servicio. OWASP consolidó 24 CWEs previamente dispersos en problemas de "calidad de código" en esta categoría, reflejando el reconocimiento creciente de que los sistemas frágiles que fallan de forma insegura son una clase de riesgo distinta y explotable.
La siguiente tabla resume cada categoría y lo que cambió en la edición de 2025.
| # | Categoría | Qué cambió en 2025 |
| A01 | Broken Access Control | Ahora incluye SSRF, anteriormente una categoría independiente |
| A02 | Security Misconfiguration | Subió desde el puesto #5 en 2021 |
| A03 | Software Supply Chain Failures | Ampliada de "Componentes vulnerables y desactualizados" para cubrir todo el ecosistema de dependencias |
| A04 | Cryptographic Failures | Bajó del puesto #2; el enfoque sigue siendo los problemas de cifrado de causa raíz |
| A05 | Injection | Bajó del puesto #3 al #5; sigue siendo una de las categorías más evaluadas |
| A06 | Insecure Design | Bajó del puesto #4 al #6; la adopción de modelado de amenazas en la industria está mejorando |
| A07 | Authentication Failures | Posición sin cambios; leve actualización de nombre desde "Identification and Authentication Failures" |
| A08 | Software or Data Integrity Failures | Posición sin cambios |
| A09 | Security Logging and Alerting Failures | Renombrada; "Alerting" reemplaza a "Monitoring" para reflejar la necesidad operativa |
| A10 | Mishandling of Exceptional Conditions | Nueva categoría; reemplaza la antigua entrada de SSRF |
Estas categorías definen la base. Antes de ver cómo corregir cada una, es útil entender por qué estos riesgos específicos tienen peso organizacional.
Por qué importa el OWASP Top 10
La brecha entre el descubrimiento de vulnerabilidades y la explotación sigue reduciéndose, y las aplicaciones web siguen siendo un punto de entrada principal. Para su organización, el OWASP Top 10 importa por tres razones.
- Priorización de riesgos. No puede corregir todo simultáneamente. El Top 10 le da un punto de partida basado en datos, clasificado por explotabilidad e impacto, no solo por severidad teórica.
- Alineación regulatoria. El NIST CSF mantiene mapeos cruzados con variantes del OWASP Top 10. Cuando auditores o reguladores preguntan sobre su programa de seguridad de aplicaciones, el OWASP Top 10 es el lenguaje común.
- Realidad financiera. Las fallas de seguridad en control de acceso, configuración incorrecta e inyección pueden convertirse en incidentes costosos. El OWASP Top 10 ayuda a sus equipos a centrarse en las clases de vulnerabilidades con mayor probabilidad de generar impacto operativo y empresarial.
Comprender por qué estos riesgos importan es el primer paso. El siguiente es saber cómo abordar cada uno a nivel de código y configuración.
Cómo prevenir vulnerabilidades del OWASP Top 10
Cada categoría del OWASP Top 10 tiene pasos de prevención específicos que sus equipos pueden implementar directamente.
- A01: Broken access control. Implemente denegación por defecto en todos los endpoints. Valide permisos en el servidor en cada solicitud y consolide en una única rutina de control de acceso aplicada de forma consistente en toda la base de código. Desactive el listado de directorios y asegúrese de que las políticas CORS restrinjan orígenes a dominios de confianza.
- A02: Security misconfiguration. Elimine credenciales predeterminadas, desactive servicios y funciones no utilizados y automatice auditorías de configuración en todos los entornos. Mantenga los encabezados de seguridad actualizados y asegúrese de que los mensajes de error devuelvan respuestas genéricas en lugar de trazas de pila.
- A03: Software supply chain failures. Fije dependencias a versiones específicas y verifique la integridad con firmas criptográficas o checksums. Mantenga una lista de materiales de software (SBOM), audite plugins de CI/CD y herramientas de desarrollo, y monitoree bases de datos de vulnerabilidades para fallas divulgadas en su árbol de dependencias.
- A04: Cryptographic failures. Utilice estándares de cifrado actuales (TLS 1.2+, AES-256) y retire algoritmos obsoletos como MD5 y SHA1. Almacene contraseñas con funciones de hashing adaptativo como bcrypt o Argon2. Clasifique los datos por sensibilidad para aplicar el nivel de protección adecuado a los activos correctos.
- A05: Injection. Utilice consultas parametrizadas para todas las operaciones de base de datos. Valide y sanee toda entrada de usuario y escape la salida para el contexto de renderizado específico (HTML, JavaScript, SQL). Aplique políticas de seguridad de contenido para reducir el impacto de XSS.
- A06: Insecure design. Realice modelado de amenazas antes de escribir código, establezca pruebas de casos de abuso junto con pruebas funcionales y aplique patrones de diseño seguro de los Controles Proactivos de OWASP. Las fallas de diseño son más baratas de corregir en la arquitectura que en producción.
- A07: Authentication failures. Implemente MFA, aplique limitación de intentos de inicio de sesión y utilice marcos de autenticación estandarizados. Invalide sesiones correctamente al cerrar sesión y al cambiar la contraseña.
- A08: Software or data integrity failures. Firme criptográficamente todos los artefactos de construcción, imágenes de contenedores y actualizaciones de software. Valide la entrada de deserialización y restrinja el acceso de escritura al pipeline CI/CD solo a roles autorizados.
- A09: Security logging and alerting failures. Configure umbrales de alerta accionables para fallas de autenticación, violaciones de control de acceso e intentos de escalamiento de privilegios. Pruebe que las alertas se activen en condiciones reales, no solo que los logs se ingieran.
- A10: Mishandling of exceptional conditions. Defina modos de falla seguros que fallen cerrados y nieguen el acceso en caso de error. Devuelva mensajes de error genéricos a los usuarios mientras registra diagnósticos detallados internamente. Maneje valores nulos, agotamiento de recursos y tipos de entrada inesperados de forma explícita.
La prevención por categoría aborda las correcciones técnicas. Escalar esas correcciones en toda su organización es donde surgen los desafíos de implementación.
Desafíos y errores comunes en la implementación del OWASP Top 10
Operacionalizar el OWASP Top 10 en un entorno de producción con cientos de aplicaciones, docenas de equipos de desarrollo y ciclos de despliegue continuo es donde la implementación falla. Estos son los patrones que causan más daño.
- Tratar el Top 10 como una lista de verificación de aprobado/reprobado. OWASP describe explícitamente el Top 10 como una guía de concienciación, no un programa de seguridad. Para pruebas de verificación, OWASP recomienda el ASVS. Para la cobertura de la cadena de suministro, el Top 10 se caracteriza como solo "Ocasionalmente" suficiente.
- Implementaciones fragmentadas de control de acceso. El proyecto de Controles Proactivos advierte contra tener múltiples implementaciones de control de acceso dispersas en una base de código. Una implementación defectuosa sigue siendo explotable incluso si todas las demás son correctas.
- Configuraciones permisivas por defecto. No aplicar denegación por defecto en APIs REST y webhooks significa que cualquier endpoint no abordado es implícitamente accesible. Esto aplica a servicios en la nube, RBAC de Kubernetes y gateways de API por igual.
- Autorización a escala. La autenticación está mejorando, pero el control de acceso no. La industria está resolviendo "¿quién eres?" pero tiene dificultades con "¿qué deberías poder hacer?" en APIs y microservicios.
- Registro sin alertas. Puede tener terabytes de datos de logs ingeridos en su SIEM, pero si nadie configura umbrales de alerta accionables, los incidentes pasan desapercibidos mientras la evidencia permanece almacenada.
- Confiar exclusivamente en escaneo basado en enumeración. Las herramientas basadas en enumeración solo pueden encontrar lo que ya sabe buscar. Las fallas lógicas, configuraciones incorrectas novedosas y debilidades arquitectónicas requieren análisis de comportamiento, no solo coincidencia de firmas.
Estos patrones persisten cuando los programas de seguridad tratan el OWASP Top 10 como una auditoría puntual en lugar de una práctica operativa continua.
Mejores prácticas del OWASP Top 10
Más allá de las correcciones por categoría, estas prácticas a nivel de programa le ayudan a operacionalizar el OWASP Top 10 en toda su organización.
- Construya una biblioteca centralizada de controles de seguridad. Según la guía de programa, defina bibliotecas compartidas y reutilizables para autenticación, autorización, validación de entradas y criptografía. Cuando cada equipo crea su propia implementación, las inconsistencias crean brechas explotables.
- Mapee los Controles Proactivos a su flujo de desarrollo. Los Controles Proactivos proporcionan un complemento orientado al desarrollador para el Top 10 enfocado en riesgos. C1 (Control de Acceso) se corresponde con A01, C3 (Validación de Entradas) con A05, C5 (Valores Predeterminados Seguros) con A02. Dé a sus desarrolladores controles específicos para implementar, no solo riesgos a evitar.
- Utilice OWASP ASVS como su base de verificación. Reemplace las pruebas de penetración ad-hoc por requisitos estructurados de ASVS mapeados a cada categoría del Top 10. ASVS proporciona criterios comprobables en formatos CSV y JSON para integración programática.
- Integre con NIST SSDF para alineación regulatoria. NIST SP 800-218 hace referencia explícita a OWASP ASVS, OWASP SAMM y OWASP SCVS como marcos complementarios y se alinea con los requisitos de la Orden Ejecutiva 14028.
Estas prácticas crean la base programática. Las pruebas validan que sus controles de prevención funcionen como se espera.
Cómo probar el OWASP Top 10
Ninguna herramienta cubre las diez categorías. Las pruebas efectivas del OWASP Top 10 combinan análisis estático, pruebas dinámicas y análisis de composición para cubrir riesgos a nivel de código, en tiempo de ejecución y de dependencias.
- Pruebas de seguridad de aplicaciones estáticas (SAST) escanean el código fuente en busca de patrones de inyección, debilidades criptográficas y fallas de autenticación antes del despliegue. SAST detecta problemas temprano en el ciclo de desarrollo, cuando las correcciones son más económicas.
- Pruebas de seguridad de aplicaciones dinámicas (DAST) evalúan aplicaciones en ejecución en busca de brechas de control de acceso, configuraciones incorrectas y fallas en el manejo de errores simulando tráfico de ataque real contra endpoints activos. OWASP ZAP es una herramienta DAST de código abierto ampliamente utilizada y mantenida por la comunidad OWASP.
- Análisis de composición de software (SCA) identifica vulnerabilidades conocidas en bibliotecas de terceros, frameworks e imágenes de contenedores al comparar su árbol de dependencias con bases de datos de vulnerabilidades publicadas.
- Pruebas de penetración validan su entorno específico, detectando fallas lógicas y debilidades arquitectónicas que las herramientas automatizadas no identifican. Relacione los hallazgos de pruebas de penetración con los requisitos de ASVS para una verificación estructurada.
La siguiente tabla relaciona cada método de prueba con las categorías del OWASP Top 10 que cubre más directamente.
Método | Categorías cubiertas | Mejor uso |
SAST | A04, A05, A07 | Durante el desarrollo, antes de fusionar el código |
| DAST | A01, A02, A10 | Contra aplicaciones en ejecución en staging o producción |
| SCA | A03, A08 | Durante la construcción y en cada actualización de dependencias |
| Penetration testing | Todas las 10 categorías | Validación periódica, después de lanzamientos importantes |
La combinación de estos métodos le da cobertura en las diez categorías del OWASP Top 10. Las herramientas autónomas cierran la brecha de ejecución entre lo que encuentra y la velocidad de respuesta.
Puntos clave
El OWASP Top 10 es el marco estándar de concienciación de la industria para los riesgos de seguridad de aplicaciones web, actualizado en 2025 con una cobertura ampliada de la cadena de suministro y un nuevo énfasis en la alerta junto al registro. Broken Access Control sigue siendo la categoría principal. Cada categoría tiene pasos de prevención específicos e implementables, desde controles de acceso de denegación por defecto hasta verificación criptográfica de artefactos.
La implementación efectiva requiere controles de seguridad centralizados, pruebas en capas con SAST, DAST y SCA, e investigación autónoma que cierre la brecha entre la velocidad de explotación y la velocidad de respuesta.
Preguntas frecuentes
El OWASP Top 10 es un documento estándar de concienciación publicado por la OWASP Foundation que identifica los riesgos de seguridad más críticos para las aplicaciones web.
Basado en datos reales de vulnerabilidades y encuestas de la comunidad, la lista proporciona una clasificación consensuada que desarrolladores, equipos de seguridad y auditores utilizan como referencia para los programas de seguridad de aplicaciones. La edición actual fue publicada en 2025.
El OWASP Top 10 no sigue un calendario de publicación fijo. Las actualizaciones se publican cuando existen suficientes datos nuevos de vulnerabilidades y aportes de la comunidad que justifican una revisión de la clasificación.
Las ediciones anteriores se publicaron en 2013, 2017, 2021 y 2025. Cada actualización refleja cambios en los patrones de explotación reales, cambios en la arquitectura de aplicaciones y nuevas metodologías de recopilación de datos, más allá de proyecciones teóricas de riesgo.
El Top 10 es un documento de concienciación diseñado para resaltar las categorías de riesgo más críticas para aplicaciones web. El ASVS (Application Security Verification Standard) proporciona requisitos de verificación estructurados y comprobables en tres niveles de aseguramiento, lo que lo hace adecuado para pruebas de seguridad y revisión de código.
La propia OWASP recomienda ASVS para revisiones de diseño y evaluaciones de seguridad, posicionando el Top 10 como punto de entrada y ASVS como el marco de verificación.
El Top 10 de aplicaciones web cubre categorías relevantes para API, especialmente Control de Acceso Roto (A01) e Inyección (A05). Sin embargo, OWASP mantiene un Top 10 de Seguridad en API separado con categorías específicas para autorización de API, limitación de tasa y control de acceso a nivel de objeto.
Varios de los principales riesgos de API están directamente relacionados con fallos de autorización que reflejan A01. Las organizaciones con una exposición significativa a API deben abordar ambas listas para garantizar una cobertura adecuada.
La metodología de 2025 amplió el conjunto de datos analizados e introdujo un ciclo de contribución de datos más amplio junto con el componente de encuesta comunitaria de OWASP para riesgos prospectivos.
La fórmula de ponderación continuó equilibrando la explotabilidad y el impacto técnico, al tiempo que reflejaba un corpus de vulnerabilidades más amplio. Esta expansión metodológica, y no solo el cambio en los patrones de amenazas, impulsó varios cambios en la clasificación, incluido el ascenso de la Configuración Incorrecta de Seguridad y la incorporación del Manejo Incorrecto de Condiciones Excepcionales como una nueva categoría.
No. OWASP indica explícitamente que el Top 10 es una herramienta de concienciación y formación de nivel inicial. Para la seguridad de la cadena de suministro, el Top 10 se considera solo "Ocasionalmente" suficiente.
Un programa completo debe incorporar OWASP ASVS para verificación, OWASP SAMM para evaluación de madurez, NIST SSDF para integración en el SDLC y protección continua en tiempo de ejecución para cubrir riesgos que el Top 10 nunca estuvo diseñado para abordar.
