Lección 2 de 7 · 13 min
El OWASP Top 10:2025 en simple
Al terminar sabrás
13 min- Explicar los diez riesgos del OWASP Top 10:2025 con un ejemplo cada uno
- Saber qué cambió en la edición 2025
- Identificar qué riesgos se prueban en el trabajo diario de QA
Construyes: Una tabla con los diez riesgos y, para cada uno, una prueba concreta en tu producto.
La lista completa
La edición 2025 del OWASP Top 10 tiene su versión final desde diciembre de 2025. Estos son sus diez riesgos, con los nombres oficiales en inglés, que son los que vas a encontrar en reportes y herramientas:
| Código | Riesgo | En simple | Una prueba de QA |
|---|---|---|---|
| A01 | Broken Access Control | Alguien hace o ve algo que no le corresponde | Entrar como cliente y pedir el pedido de otro |
| A02 | Security Misconfiguration | El sistema está mal configurado | Revisar que no se vean errores detallados ni paneles de administración abiertos |
| A03 | Software Supply Chain Failures | Una dependencia o herramienta del proceso trae el problema | Revisar dependencias vulnerables en el pipeline |
| A04 | Cryptographic Failures | Datos sensibles sin proteger | Verificar que todo vaya por HTTPS y que no viajen contraseñas en la dirección |
| A05 | Injection | El sistema ejecuta lo que el usuario escribió | Probar campos con caracteres especiales y ver que se traten como texto |
| A06 | Insecure Design | El diseño mismo permite el abuso | Revisar si una regla de negocio se puede saltar, como un cupón aplicado dos veces |
| A07 | Authentication Failures | El inicio de sesión o la sesión fallan | Probar límite de intentos, mensajes de error y cierre de sesión |
| A08 | Software or Data Integrity Failures | Se confía en datos o código sin verificarlos | Revisar si el cliente puede alterar un precio que el servidor acepta |
| A09 | Security Logging and Alerting Failures | Pasa algo grave y nadie se entera | Verificar que un intento de acceso indebido quede registrado |
| A10 | Mishandling of Exceptional Conditions | El sistema responde mal cuando algo sale mal | Provocar errores y ver qué muestra y qué deja guardado |
Qué cambió respecto de 2021
- A01 sigue primero y ahora incluye SSRF, que en 2021 tenía categoría propia.
- A02 Security Misconfiguration sube del quinto al segundo lugar.
- A03 Software Supply Chain Failures amplía lo que antes era "componentes vulnerables": ya no es solo una librería desactualizada, sino toda la cadena con la que se construye y publica el software.
- A10 Mishandling of Exceptional Conditions es nueva: errores mal manejados, condiciones lógicas que fallan y sistemas que, ante un problema, quedan "abiertos" en vez de cerrarse.
Lo que más le toca a QA
Siete de los diez se prueban directamente en el trabajo diario: A01, A02, A05, A06, A07, A09 y A10. Son pruebas funcionales con otra mirada: en vez de preguntar "¿funciona?", preguntan "¿qué pasa si alguien lo usa como no se esperaba?".
A03 se cubre mejor con herramientas automáticas en el pipeline (lección 6), y A04 y A08 suelen requerir revisión de código, aunque QA puede verificar lo visible.
Las próximas lecciones van en ese orden de impacto: control de acceso, autenticación, entradas y errores, configuración y dependencias, y registros e incidentes.
Si tu producto tiene IA
Los asistentes y agentes con IA tienen sus propias listas de OWASP, para LLM y para aplicaciones con agentes. Se ven en el curso Probar la IA y se practican en la Sesión 3 del laboratorio, con Frutibot.
Compruébalo
0/3Responde sin mirar atrás. Verás la explicación al instante.
1. ¿Qué riesgo encabeza el OWASP Top 10:2025?
2. ¿Qué categoría es nueva en la edición 2025?
3. La pantalla dice 'Guardado' aunque el servidor respondió con un error. ¿Con qué riesgo se relaciona más?
Reto: el Top 10 en tu producto
Arma una tabla con los diez riesgos y escribe, para cada uno, una prueba concreta que podrías hacer en tu producto. Marca los que puede hacer QA y los que requieren a un especialista.