Content Available in Spanish Only
This article is currently available only in Spanish. We're working on translations.
Available in: ES • Tip: Use your browser's translation feature or visit the Spanish version
¿Qué es el OWASP Top 10?
El OWASP Top 10 es la lista de las diez categorías de riesgo más críticas en aplicaciones web, publicada por el Open Worldwide Application Security Project (OWASP). La edición 2025 incorpora nuevas amenazas derivadas de la adopción masiva de IA, arquitecturas de microservicios y supply chain attacks, basándose en datos de más de 500.000 aplicaciones analizadas en los últimos cuatro años.
¿Por qué importa la edición 2025?
Cambios clave respecto a la edición 2021
- A03 Injection (2025): incorpora explícitamente LLM Prompt Injection como subtipo.
- A04 Insecure Design: mayor énfasis en Threat Modeling y AI system design.
- A08 Software & Data Integrity: referencia directa a SLSA y Sigstore para supply chain.
- Nuevas métricas: datos actualizados de CVE y NVD 2022–2024 para tasas de incidencia.
OWASP Top 10 – Edición 2025
A01:2025 – Broken Access Control
Mantiene el puesto n.º 1 desde 2021. Prevalencia del 55 % en las aplicaciones analizadas. Un atacante accede a recursos o funciones restringidos: IDOR, escalada de privilegios vertical/horizontal, CORS mal configurado que permite orígenes no autorizados, falta de comprobación de autorización en APIs.
A02:2025 – Cryptographic Failures
Antes "Sensitive Data Exposure". Incluye: datos PII transmitidos sin TLS, contraseñas almacenadas con MD5/SHA-1 sin sal, claves hard-codeadas en código fuente, uso de CBC sin autenticación de mensaje, generadores de números aleatorios no criptográficos. En 2024–2025, los ataques de cosecha de datos cifrados (harvest-now-decrypt-later) para futura descifrado con computación cuántica son una amenaza emergente.
A03:2025 – Injection
SQL, NoSQL, OS Command, LDAP, XSS, y en 2025 se incorpora explícitamente el LLM Prompt Injection: un atacante inyecta instrucciones en el prompt de un modelo de lenguaje para alterar su comportamiento, exfiltrar datos o eludir controles.
A04:2025 – Insecure Design
Fallos de diseño y arquitectura que no se pueden corregir solo con buena implementación. En 2025 se enfatiza el diseño seguro de sistemas de IA: falta de guardrails, ausencia de human-in-the-loop en decisiones críticas, modelos entrenados con datos sin validar.
- Ejemplos: recuperación de contraseña por preguntas secretas, lógica de negocio explotable (comprar artículos a precio negativo), ausencia de rate-limiting por diseño.
- Solución: Threat Modeling (STRIDE/PASTA) desde la fase de diseño, Design Review, OWASP ASVS como checklist de requisitos.
A05:2025 – Security Misconfiguration
90 % de las aplicaciones tienen al menos una configuración incorrecta. Ejemplos habituales: credenciales por defecto activas, stack traces expuestos en producción, cloud storage buckets públicos, puertos administrativos accesibles desde internet, headers de seguridad ausentes (CSP, HSTS, X-Content-Type-Options).
A06:2025 – Vulnerable & Outdated Components
Librerías, frameworks o módulos con CVEs conocidos. Log4Shell (CVE-2021-44228), XZ Utils backdoor (CVE-2024-3094), y el creciente riesgo de supply chain attacks vía paquetes npm/PyPI maliciosos son los casos más notorios de 2021-2025.
A07:2025 – Identification & Authentication Failures
Autenticación débil o rota: sin protección ante fuerza bruta, sesiones que no expiran al cerrar sesión, tokens JWT con algoritmo none, restablecimiento de contraseña que filtra si el email existe, ausencia de MFA. En 2025 se suman ataques de passkey fatigue y bypass de biometría en móviles.
A08:2025 – Software & Data Integrity Failures
Pipelines CI/CD sin verificación de integridad, dependencias instaladas sin verificar hash/firma, deserialización insegura (Java, Python pickle, PHP unserialize). En 2025 la referencia clave es el framework SLSA (Supply-chain Levels for Software Artifacts) y herramientas como Sigstore/cosign para firmar imágenes.
A09:2025 – Security Logging & Monitoring Failures
Sin logs adecuados, los atacantes operan meses sin ser detectados. El tiempo medio de detección en 2024 es de 194 días(IBM Cost of Data Breach 2024). Exige: logging de eventos de autenticación, alertas sobre anomalías, correlación en SIEM, y pruebas regulares de que las alertas funcionan.
A10:2025 – Server-Side Request Forgery (SSRF)
El servidor hace peticiones HTTP a URLs controladas por el atacante, permitiendo acceso a metadatos de cloud, servicios internos, escaneo de red o pivoting. En 2025 el SSRF mediante modelos de IA que hacen fetch de URLs de usuario es un vector emergente.
Comparativa 2021 → 2025
Cómo usar el OWASP Top 10 en tu proyecto
En el SDLC
- Diseño: Threat modeling (STRIDE/PASTA) para A01, A04
- Desarrollo: SAST con Semgrep/SonarQube para A03, A06
- Testing: DAST con OWASP ZAP/Burp Suite para A05, A07, A10
- Build: SCA con Dependency-Check/Snyk para A06, A08; firmar artefactos con cosign
- Deploy: IaC scanning (Checkov, tfsec) para A02, A05
- Operación: SIEM + alertas en tiempo real para A09
Priorización por impacto
Con recursos limitados, prioriza A01 (Broken Access Control), A03 (Injection) y A02 (Cryptographic Failures): estas tres categorías suman más del 50 % de los hallazgos en auditorías reales. Usa el OWASP ASVS como checklist detallado para cada categoría.
Herramientas por categoría
El ecosistema OWASP más allá del Top 10
El OWASP Top 10 es solo la puerta de entrada. Para un programa de seguridad completo, explora los demás proyectos OWASP documentados en esta wiki:
- OWASP ASVS — Checklist de verificación de seguridad para aplicaciones web (niveles 1–3)
- OWASP SAMM — Modelo de madurez para medir y mejorar tu programa de AppSec
- OWASP DSOMM — Modelo de madurez específico para DevSecOps
- OWASP MASVS — Estándar de verificación para aplicaciones móviles
- OWASP WSTG — Guía metodológica completa para testing de seguridad web
- OWASP API Security Top 10 — Las 10 categorías de riesgo específicas de APIs REST/GraphQL
- OWASP Cheat Sheet Series — Referencia práctica para desarrolladores por tema
- OWASP ZAP — Proxy de interceptación y scanner DAST open source