El Top 10 de OWASP es una lista estandarizada que identifica los riesgos de seguridad más significativos en las aplicaciones web. Su objetivo es concienciar a desarrolladores, arquitectos de software y profesionales de la seguridad de la información sobre las vulnerabilidades más críticas que pueden afectar a este tipo de aplicaciones.
Esta lista funciona como una guía de referencia para ayudar a las organizaciones a priorizar los riesgos que deben abordar en primer lugar. Cabe destacar que su propósito no es proporcionar soluciones directas para corregir las vulnerabilidades, sino servir como punto de partida para la identificación, evaluación y gestión de los distintos riesgos de seguridad.
Los riesgos incluidos en el Top 10 se clasifican considerando sus calificaciones de explotación, el impacto potencial y la prevalencia de las debilidades asociadas.
A continuación, se presenta la versión actualizada del Top 10 de los Riesgos de Seguridad Más Críticos para Aplicaciones Web de OWASP:
A01: Control de Acceso Roto.
El control de acceso aplica políticas que impiden que los usuarios actúen fuera de los permisos asignados. Los fallos en estas políticas pueden provocar la divulgación no autorizada de información, la modificación o destrucción de datos, o la ejecución de funciones empresariales indebidas. Para prevenirlo, se debe implementar código confiable del lado del servidor o en APIs serverless, donde los atacantes no puedan alterar las verificaciones de acceso ni los metadatos.
A02: Error de Configuración de Seguridad.
Se refiere a una configuración incorrecta de seguridad en sistemas, aplicaciones o servicios en la nube, lo que genera vulnerabilidades. Para prevenirlo, se deben implementar procesos de instalación seguros, utilizar plataformas mínimas sin funciones innecesarias, aplicar una arquitectura segmentada y automatizar la verificación de las configuraciones.
A03: Fallo en la Cadena de Suministro de Software.
Consiste en vulnerabilidades o modificaciones maliciosas introducidas durante la construcción, distribución o actualización de software, especialmente a través de código de terceros. Para mitigarlo, se deben eliminar dependencias innecesarias, utilizar componentes de fuentes confiables, mantener las librerías actualizadas, inventariar las versiones utilizadas y monitorear vulnerabilidades conocidas.
A04: Fallo Criptográfico.
Se relaciona con la transmisión de datos en texto claro o el uso de algoritmos criptográficos obsoletos, como MD5 o SHA-1. Estas debilidades pueden permitir a los atacantes interceptar información, descifrar datos almacenados o falsificar tokens de autenticación. Para prevenirlo, se deben cifrar los datos sensibles, utilizar algoritmos confiables, evitar protocolos inseguros como FTP y aplicar los controles de seguridad adecuados.
A05: Inyección.
Es una vulnerabilidad que permite enviar entradas no confiables a un intérprete para que las ejecute como comandos. Para prevenirla, se recomienda utilizar APIs seguras que eviten el uso directo del intérprete y, cuando no sea posible, aplicar validación estricta de entradas en el servidor.
A06: Diseño Inseguro.
Se produce por la falta de una adecuada evaluación de riesgos durante el desarrollo de software o sistemas. Para reducir este riesgo, se deben adoptar patrones de diseño seguros y aplicar modelos de amenazas en los componentes críticos de la aplicación.
A07: Fallo en la Autenticación.
Ocurre cuando un atacante consigue que el sistema lo identifique como un usuario legítimo. Esto puede deberse a la ausencia de autenticación multifactor, al uso de contraseñas débiles o predeterminadas, o a la reutilización de credenciales. Para prevenirlo, se recomienda implementar autenticación multifactor, detectar contraseñas débiles y ajustar las políticas de contraseñas según las directrices NIST 800-63B.
A08: Fallo de Integridad de Software o Datos.
Estos fallos ocurren cuando el código o la infraestructura no garantizan la autenticidad e integridad de los datos o componentes utilizados. Para prevenirlos, se deben emplear firmas digitales, establecer procesos de revisión de código y asegurar una adecuada segregación en los entornos de CI/CD.
A09: Fallo en el Registro y las Alertas de Seguridad.
La ausencia de registros y monitoreo dificulta la detección de ataques y brechas de seguridad, mientras que la falta de alertas impide una respuesta rápida ante incidentes. Para prevenirlo, se deben registrar eventos relevantes como fallos de inicio de sesión, errores de validación y controles de acceso, además de contar con un plan de respuesta y recuperación ante incidentes.
A10: Mal Manejo de Condiciones Excepcionales.
Este riesgo surge cuando los programas no logran prevenir, detectar o responder adecuadamente a situaciones imprevistas, provocando fallos o comportamientos inesperados. Para mitigarlo, es importante gestionar los errores en el punto donde ocurren e implementar un mecanismo global de manejo de excepciones para los casos no controlados.
Para obtener más información sobre estos riesgos y las medidas para prevenirlos, puedes visitar el sitio web oficial de OWASP: https://owasp.org/Top10/2025
Descarga la infografía aquí.
Referencias
- Griffeth, N. (2025, 18 noviembre). La nueva lista de los 10 principales ataques según OWASP de 2025: qué ha cambiado y qué necesitas saber. https://www.fastly.com/es/blog/new-2025-owasp-top-10-list-what-changed-what-you-need-to-know
- OWASP Top 10:2025. (s. f.). https://owasp.org/Top10/2025/