Blog > Seguridad web
OWASP Top 10:2025 en una página
El OWASP Top 10 es el documento de referencia sobre los riesgos más críticos de las aplicaciones web. Su edición más reciente es la de 2025.
Los diez riesgos
| Código | Riesgo | En palabras simples | ¿Ayuda un WAF? |
|---|---|---|---|
| A01 | Control de acceso roto | Un usuario puede ver o hacer algo que no le corresponde. | Parcial |
| A02 | Configuración de seguridad incorrecta | Valores por defecto inseguros, archivos expuestos o servicios de más. | Sí: bloqueo de rutas como /.env y /.git |
| A03 | Fallas en la cadena de suministro de software | Dependencias o herramientas de terceros comprometidas. | No |
| A04 | Fallas criptográficas | Datos sensibles sin cifrar o con cifrado débil. | No; ayuda forzar HTTPS |
| A05 | Inyección | Datos del usuario que terminan ejecutándose como código, como SQL o scripts. | Sí: reglas administradas y bloqueo de escáneres |
| A06 | Diseño inseguro | Fallas desde la concepción de la aplicación. | No |
| A07 | Fallas de autenticación | Contraseñas débiles, sesiones mal manejadas o fuerza bruta. | Parcial: límite de tasa |
| A08 | Fallas de integridad de software o datos | Actualizaciones o datos que no se verifican antes de usarse. | No |
| A09 | Fallas de registro y alertas | Ataques que nadie detecta porque no se registran. | Parcial: eventos de seguridad del WAF |
| A10 | Manejo incorrecto de condiciones excepcionales | Errores que dejan la aplicación en un estado inseguro. | No |
La lección
Un WAF cubre bien los ataques que se reconocen en la solicitud misma, como inyecciones, escaneos o accesos a archivos expuestos. Los riesgos de diseño, de cadena de suministro o de integridad se resuelven en el desarrollo, no en el perímetro.
Fuentes
- OWASP Foundation. (2025). OWASP Top 10:2025. owasp.org/Top10/2025/es
- OWASP Foundation. (2026). OWASP Top Ten project. owasp.org/www-project-top-ten