Qué es OWASP y por qué importa a un negocio pequeño
OWASP es una fundación sin ánimo de lucro que publica guías de seguridad abiertas. Su Top 10 no es una ley, pero es el estándar que usan auditores, clientes grandes y equipos de desarrollo para hablar el mismo idioma. Si le pides un sitio o una aplicación a un proveedor, preguntarle "¿cómo cubren el OWASP Top 10?" es una forma sencilla de saber si se toma la seguridad en serio.
Revisado el 26 de octubre de 2026. Este tema cambia con rapidez: confirma los detalles en la página oficial de OWASP.
Las 10 categorías de 2025, en lenguaje claro
| # | Categoría oficial | Qué significa para tu negocio |
|---|---|---|
| A01 | Broken Access Control (Control de acceso roto) | Alguien ve o modifica datos que no le corresponden (por ejemplo, los leads de otro cliente). |
| A02 | Security Misconfiguration (Mala configuración) | Ajustes por defecto, paneles expuestos, cabeceras de seguridad ausentes. |
| A03 | Software Supply Chain Failures (Fallos en la cadena de suministro) | Una librería, plugin o herramienta de la que depende tu sitio está comprometida. |
| A04 | Cryptographic Failures (Fallos criptográficos) | Datos sensibles sin cifrar o mal protegidos. |
| A05 | Injection (Inyección) | Un formulario o parámetro permite ejecutar instrucciones no previstas. |
| A06 | Insecure Design (Diseño inseguro) | El sistema se diseñó sin pensar en el abuso. |
| A07 | Authentication Failures (Fallos de autenticación) | Contraseñas débiles, sesiones mal manejadas, falta de doble factor. |
| A08 | Software or Data Integrity Failures (Fallos de integridad) | Se confía en código o datos que no se verifican. |
| A09 | Security Logging & Alerting Failures (Fallos de registro y alertas) | Si algo ocurre, nadie se entera a tiempo. |
| A10 | Mishandling of Exceptional Conditions (Manejo incorrecto de condiciones excepcionales) | Errores mal tratados que revelan información o dejan el sistema abierto. |
Lo nuevo y lo que se movió
- A03, cadena de suministro (nueva/ampliada): amplía la antigua categoría de componentes vulnerables y desactualizados. Ya no se trata solo de una librería con un fallo conocido, sino de toda la cadena: dependencias, herramientas de compilación, cuentas de quienes publican paquetes y sistemas de despliegue. Lo vemos en la práctica con los ataques a npm (léelo aquí).
- A10, condiciones excepcionales (nueva): cubre el manejo incorrecto de errores, fallos lógicos y situaciones anormales, incluido el "fallar abierto" (si algo se rompe, el sistema deja pasar en lugar de bloquear).
- A01 sigue primero y ahora absorbe el SSRF (cuando el servidor es engañado para hacer peticiones que el atacante quiere).
- A02 sube al segundo lugar: la mala configuración es hoy uno de los riesgos más comunes.
Qué puedes hacer esta semana
- Control de acceso: pide que verifiquen que cada usuario solo vea lo suyo, también en las rutas internas y en las API, no solo en las pantallas.
- Configuración: revisa que haya HTTPS con HSTS, cabeceras de seguridad y que no existan paneles o archivos de prueba expuestos. Nuestra lista de 20 puntos te sirve de guía.
- Cadena de suministro: pregunta qué dependencias usa tu sitio, cada cuánto se actualizan y cómo se evita instalar versiones comprometidas.
- Errores: comprueba que un error no muestre detalles técnicos al público y que, ante un fallo de permisos o de una validación, el sistema bloquee en vez de dejar pasar.
- Registros y alertas: que alguien reciba aviso cuando hay intentos de acceso anómalos o caídas.
Si quieres una revisión de tu sitio, empieza por nuestro auditor web gratuito o escríbenos.
Fuentes
Preguntas frecuentes
¿Qué es el OWASP Top 10?
Es la lista, publicada por la fundación OWASP, de los diez riesgos de seguridad más críticos en aplicaciones web. Se usa como referencia en auditorías y desarrollo.
¿Qué categorías nuevas trae la edición 2025?
Software Supply Chain Failures (A03), que amplía los componentes vulnerables, y Mishandling of Exceptional Conditions (A10). Además, Broken Access Control sigue en primer lugar e incorpora el SSRF, y Security Misconfiguration sube al segundo puesto.
¿Mi sitio con WordPress también debe preocuparse por el OWASP Top 10?
Sí. Aplica a cualquier aplicación web. En WordPress, la cadena de suministro se traduce sobre todo en plugins y temas desactualizados.