¿Qué es OWASP y qué es el Top 10?
OWASP (Open Worldwide Application Security Project) es una fundación sin fines de lucro que produce guías, estándares y herramientas abiertas para mejorar la seguridad del software. Su proyecto más conocido es el Top 10: un documento de concienciación que agrupa las debilidades más frecuentes y de mayor impacto en aplicaciones web en diez categorías, ordenadas a partir de datos reales y de una encuesta a la comunidad.
Para una empresa, el Top 10 funciona como un idioma común. Permite que gerencia, el equipo de TI, los desarrolladores y los proveedores hablen de los mismos riesgos con los mismos nombres.
¿Qué cambió en la edición 2025?
La edición 2025 se construyó con datos de más de 2,8 millones de aplicaciones y analizó 589 tipos de debilidades (CWE). Respecto de la edición 2021:
- Dos categorías nuevas: fallas en la cadena de suministro de software (A03), que amplía la antigua categoría de componentes vulnerables, y manejo inadecuado de condiciones excepcionales (A10).
- Una fusión: la falsificación de solicitudes del lado del servidor (SSRF) pasa a formar parte del control de acceso (A01).
- Cambios de posición: la configuración incorrecta de seguridad sube del quinto al segundo lugar.
¿Cuáles son las 10 categorías del OWASP Top 10 2025?
| Código | Categoría | En una frase | Dónde suele detectarse |
|---|---|---|---|
| A01 | Pérdida de control de acceso | Un usuario ve o hace algo que no le corresponde | Pruebas automatizadas y revisión manual por rol |
| A02 | Configuración de seguridad incorrecta | Ajustes por defecto, servicios de más o permisos amplios | Pruebas automatizadas y revisión de configuración |
| A03 | Fallas en la cadena de suministro de software | El riesgo llega por un componente o proveedor de terceros | Inventario de componentes y seguimiento de vulnerabilidades conocidas |
| A04 | Fallas criptográficas | Datos sensibles sin cifrar o con cifrado débil | Pruebas automatizadas y revisión de cómo se guardan los datos |
| A05 | Inyección | El sistema ejecuta como instrucción algo que era un dato | Pruebas automatizadas y revisión de código |
| A06 | Diseño inseguro | La falla está en cómo se pensó el flujo, no en cómo se programó | Revisión de diseño y modelado de amenazas |
| A07 | Fallas de autenticación | Es fácil hacerse pasar por otro usuario | Pruebas automatizadas y revisión manual de flujos |
| A08 | Fallas en la integridad del software o de los datos | Se confía en código o datos sin verificar que no fueron alterados | Revisión del proceso de desarrollo y despliegue |
| A09 | Fallas en el registro, alerta y monitoreo de seguridad | Un ataque ocurre y nadie se entera | Revisión de registros y ejercicios de detección |
| A10 | Manejo inadecuado de condiciones excepcionales | Un error inesperado deja el sistema en un estado inseguro | Revisión de código y pruebas de casos límite |
Los nombres en español siguen la versión en español del sitio de OWASP; el nombre original de cada categoría está en inglés. La columna «Dónde suele detectarse» es una orientación de TECDEX, no parte del documento de OWASP.
¿Qué significa cada categoría para tu empresa?
A01 · Pérdida de control de acceso
- Qué es: también conocida como «control de acceso roto», ocurre cuando el sistema no impide que un usuario vea o haga algo fuera de sus permisos. Desde 2025 incluye los casos en que se induce al servidor a consultar destinos internos no autorizados (SSRF).
- Ejemplo: un cliente cambia el número de su factura en la dirección web y ve la factura de otro cliente.
- Impacto: filtración de datos de clientes y acciones no autorizadas.
- Cómo se previene: negar por defecto, verificar permisos en el servidor en cada solicitud y probar cada rol.
A02 · Configuración de seguridad incorrecta
- Qué es: ajustes por defecto, servicios innecesarios, mensajes de error detallados o permisos demasiado amplios.
- Ejemplo: un panel de administración accesible desde internet con la configuración de fábrica.
- Impacto: acceso no autorizado y exposición de información interna.
- Cómo se previene: una configuración base endurecida y repetible, eliminar lo que no se usa y revisar después de cada cambio.
A03 · Fallas en la cadena de suministro de software
- Qué es: riesgos que llegan a través de librerías, dependencias, herramientas o procesos de construcción y actualización de terceros.
- Ejemplo: una librería muy usada publica una vulnerabilidad crítica, o la actualización de un proveedor llega comprometida.
- Impacto: robo de datos o credenciales y compromisos masivos, porque el componente corre con los mismos permisos que la aplicación.
- Cómo se previene: inventario de componentes (SBOM), fuentes oficiales, actualizaciones oportunas y probadas, y acceso controlado al proceso de despliegue.
A04 · Fallas criptográficas
- Qué es: datos sensibles que viajan o se guardan sin cifrar, o con métodos débiles u obsoletos.
- Ejemplo: contraseñas guardadas con un método de cifrado ya superado.
- Impacto: exposición de datos personales o financieros, con costos legales y reputacionales.
- Cómo se previene: clasificar los datos, cifrar con algoritmos vigentes, gestionar bien las claves y no guardar lo que no se necesita.
A05 · Inyección
- Qué es: la aplicación trata datos ingresados por un usuario como si fueran instrucciones para la base de datos, el sistema o el navegador.
- Ejemplo: un campo de búsqueda que, ante una entrada maliciosa, termina modificando la consulta a la base de datos.
- Impacto: lectura, alteración o borrado de datos y robo de sesiones.
- Cómo se previene: consultas parametrizadas, validación de entradas y frameworks que separan datos de instrucciones.
A06 · Diseño inseguro
- Qué es: fallas en la lógica o en el flujo del sistema. OWASP advierte que un diseño inseguro no se corrige con una implementación perfecta.
- Ejemplo: una recuperación de contraseña basada en preguntas cuyas respuestas son fáciles de averiguar.
- Impacto: abuso de funciones legítimas y fraude.
- Cómo se previene: modelado de amenazas al diseñar, requisitos de seguridad desde el inicio y revisión de los flujos críticos.
A07 · Fallas de autenticación
- Qué es: debilidades en cómo se verifica la identidad y se manejan las sesiones.
- Ejemplo: un inicio de sesión sin límite de intentos o sesiones que nunca expiran.
- Impacto: toma de cuentas de clientes o de administradores.
- Cómo se previene: doble factor de autenticación, límites de intentos, contraseñas revisadas contra listas de filtradas y sesiones que expiran.
A08 · Fallas en la integridad del software o de los datos
- Qué es: confiar en código, actualizaciones o datos sin comprobar que no fueron alterados.
- Ejemplo: una aplicación que instala actualizaciones sin verificar su firma.
- Impacto: ejecución de código no autorizado y manipulación de datos.
- Cómo se previene: firmas digitales, verificación de integridad y control de cambios en el proceso de despliegue.
A09 · Fallas en el registro, alerta y monitoreo de seguridad
- Qué es: no registrar los eventos relevantes o no generar alertas cuando algo anómalo ocurre. OWASP reconoce que es una categoría muy difícil de probar.
- Ejemplo: cientos de intentos fallidos de acceso que nadie revisa.
- Impacto: brechas que se detectan tarde; según OWASP, pueden pasar años sin ser descubiertas.
- Cómo se previene: registrar los eventos de seguridad con contexto, proteger los registros y definir alertas con un procedimiento de respuesta.
A10 · Manejo inadecuado de condiciones excepcionales
- Qué es: cómo responde el sistema ante errores y situaciones inesperadas, incluido el caso en que «falla abierto» en vez de fallar de forma segura.
- Ejemplo: un error a mitad de un pago deja la transacción incompleta o inconsistente.
- Impacto: indisponibilidad, datos inconsistentes y fraude.
- Cómo se previene: manejar cada error donde ocurre, revertir transacciones completas y fallar de forma segura.
¿Cómo usar el OWASP Top 10 en la empresa?
El Top 10 sirve cuando se convierte en un proceso, no cuando se cita en una presentación.
| Paso | Qué hacer | Resultado |
|---|---|---|
| 1. Priorizar | Inventariar las aplicaciones y APIs expuestas y ordenarlas por los datos que manejan y su importancia para el negocio | Una lista de qué evaluar primero |
| 2. Evaluar periódicamente | Combinar evaluaciones automatizadas recurrentes con revisión manual en lo crítico, y exigir el Top 10 en los requisitos a desarrolladores y proveedores | Hallazgos clasificados por categoría |
| 3. Seguir la corrección | Asignar a cada hallazgo prioridad, responsable y plazo, y volver a probar antes de darlo por cerrado | Hallazgos cerrados con evidencia |
| 4. Aprender | Revisar en qué categorías se repiten los hallazgos y corregir la causa: capacitación, diseño o proceso | Menos hallazgos repetidos |
El ciclo completo está explicado en la guía de gestión de vulnerabilidades, y la diferencia entre evaluar de forma automatizada y manual, en la de pentesting automatizado.
¿Qué no es el OWASP Top 10?
- No es una norma ni una certificación. Nadie «cumple» el Top 10. Para verificar requisitos de seguridad de forma sistemática, OWASP recomienda su estándar ASVS, cuya versión estable vigente es la 5.0.0.
- No es una lista completa. Cubre las categorías más críticas, no todas las debilidades posibles.
- No sustituye a un sistema de gestión. Si tu empresa responde a ISO 27001 o a la Ley 21.663, esos requisitos se trabajan en TECDEX Compliance.
Cómo lo aborda VULNERA
VULNERA ayuda a detectar y gestionar vulnerabilidades web del tipo que describe el OWASP Top 10 en aplicaciones y APIs propias o autorizadas. Automatiza el reconocimiento, el descubrimiento y la detección, y convierte cada hallazgo en una decisión priorizada, con evidencia, recomendación y responsable.
No cubre todas las categorías del Top 10: las de diseño, lógica y procesos internos, como el diseño inseguro o las fallas en el registro, alerta y monitoreo, requieren revisión humana. Ninguna evaluación parte sin un alcance definido y una aprobación explícita.
Mira cómo funciona, paso a paso · Conoce VULNERA · Agenda tu demo
Preguntas frecuentes
¿Qué es el OWASP Top 10?
Es la lista de referencia de la OWASP Foundation con las diez categorías de riesgo más críticas en aplicaciones web, elaborada a partir de datos reales y de una encuesta a la comunidad. Sirve como idioma común para priorizar qué revisar y qué exigir a desarrolladores y proveedores.
¿Cuál es la versión vigente del OWASP Top 10?
Al 31 de octubre de 2026, la edición vigente es la de 2025. Respecto de 2021, incorpora las fallas en la cadena de suministro de software y el manejo inadecuado de condiciones excepcionales, e integra la falsificación de solicitudes del lado del servidor (SSRF) en el control de acceso.
¿El OWASP Top 10 es obligatorio?
No. Es un documento de concienciación, no una norma ni una certificación. Muchas empresas lo usan como referencia en requisitos de desarrollo y en contratos con proveedores. Para verificar requisitos de seguridad de forma sistemática, OWASP recomienda su estándar ASVS.
¿Cómo usa el OWASP Top 10 una empresa que no desarrolla software?
Como lista de lo que debe exigir y revisar: pedir a los proveedores que sus aplicaciones se prueben frente a estas categorías, evaluar periódicamente las aplicaciones que la empresa tiene expuestas y dar seguimiento a la corrección de lo que se encuentre.
¿Una evaluación automatizada cubre todo el OWASP Top 10?
No. Las pruebas automatizadas detectan bien muchas fallas de configuración, inyección o componentes con vulnerabilidades conocidas. Categorías como el diseño inseguro o las fallas en el registro, alerta y monitoreo requieren revisión humana del diseño, del código y de los procesos.
Sigue leyendo: Gestión de vulnerabilidades: del hallazgo a la remediación comprobada · Pentesting automatizado: qué es y en qué se diferencia del pentest manual · Preguntas frecuentes sobre VULNERA