OWASP Top 10 (2025) : ce qu'un WAF couvre, et ce qu'il ne couvre pas
Les dix catégories de l'édition 2025 de l'OWASP Top 10, une par une, avec ce qu'un pare-feu applicatif comme Zyre peut réellement faire pour chacune. Réponse courte : beaucoup pour une, en partie pour cinq, rien pour quatre.
7 minMis à jour le
L'OWASP Top 10 est la liste de référence des risques de sécurité des applications web, publiée par la fondation OWASP. Son édition 2025 remplace celle de 2021 : deux catégories apparaissent (la chaîne d'approvisionnement logicielle et la gestion des conditions exceptionnelles), et la falsification de requêtes côté serveur (SSRF) rejoint le contrôle d'accès.
Méfiez-vous du « conforme OWASP »
L'OWASP Top 10 est une liste de risques applicatifs, pas une norme de produit : aucun WAF ne « couvre l'OWASP Top 10 ». Plusieurs catégories sont des défauts de code ou de conception qui ne se voient dans aucune requête. Un fournisseur qui affirme le contraire vend une impression.
Catégorie par catégorie
| Catégorie (2025) | Ce que fait un WAF | Couverture |
|---|---|---|
| A01 — Contrôle d'accès défaillant | Bloque l'accès direct aux fichiers sensibles et les sondes SSRF vers des services internes. Ne sait pas qu'un utilisateur consulte la facture d'un autre : la requête est valide. | Partielle |
| A02 — Mauvaise configuration de sécurité | Refuse les fichiers exposés par erreur (.env, .git, sauvegardes, pages de diagnostic). Ne corrige pas la configuration elle-même. | Partielle |
| A03 — Défaillances de la chaîne d'approvisionnement logicielle | Hors de portée d'un filtre de requêtes. La veille de Zyre signale les failles connues des technologies détectées sur votre site, ce qui couvre une partie du risque, sans inventaire complet des dépendances. | Partielle (veille) |
| A04 — Défaillances cryptographiques | Le chiffrement du transport est assuré à l'arête (TLS). Le stockage des mots de passe ou des données dans votre application ne se voit pas d'une requête. | Non |
| A05 — Injection | Le cœur du métier : injection SQL, XSS, injection de commandes, de modèles, traversée de chemin — dans l'URL, les paramètres, les noms de paramètres et le corps des formulaires. | Forte |
| A06 — Conception non sécurisée | Un défaut de conception produit des requêtes parfaitement normales. | Non |
| A07 — Défaillances d'authentification | Le plafond de débit par adresse IP ralentit les essais de mots de passe en masse. Ne remplace ni une politique de mots de passe ni une double authentification. | Partielle |
| A08 — Défaillances d'intégrité des logiciels ou des données | Bloque quelques formes reconnaissables (pollution de prototype, par exemple), pas l'absence de vérification d'intégrité dans votre code. | Marginale |
| A09 — Défaillances de journalisation et d'alerte | Chaque blocage est journalisé avec sa règle, son adresse et son chemin, et peut déclencher une alerte. Ne remplace pas les journaux de votre application. | Partielle |
| A10 — Mauvaise gestion des conditions exceptionnelles | La façon dont votre code réagit à une erreur ne se lit pas dans la requête. | Non |
Comment lire ce tableau
Un pare-feu applicatif est très efficace sur les risques qui se voient dans une requête — l'injection en tête — et sans effet sur ceux qui se décident dans votre code. Les deux se complètent : le WAF vous protège pendant que la faille existe encore, la correction du code la fait disparaître.
C'est aussi pour cela que les règles de Zyre sont écrites par technologie : une injection contre un formulaire WordPress ne ressemble pas à une injection contre une API Laravel. Voir les technologies et leurs failles.
À lire ensuite
Qu'est-ce qu'un pare-feu applicatif (WAF) ?
Un WAF inspecte chaque requête HTTP avant qu'elle n'atteigne votre site, et refuse celles qui portent une attaque. Comment il fonctionne, ce qu'il arrête, et ce qu'il ne peut pas arrêter.
Les faux positifs
Quand une visite légitime est bloquée : comment le repérer, le signaler, et ce qui se passe ensuite.
NIS2 et votre site web : qui est concerné, et ce que change un WAF
Ce que la directive NIS2 demande, quelles entreprises elle vise, où en est la loi française de transposition, et la place réelle d'un pare-feu applicatif dans une démarche de mise en conformité.
Cette page ne répond pas à votre question ?
Nous contacter