OWASP Top 10:2025 explicado: las 10 categorías, qué cambió y cómo practicarlas

El OWASP Top 10 es la lista de las 10 categorías de riesgo más críticas en aplicaciones web, que publica la fundación OWASP. La vigente es la edición 2025: la encabeza la pérdida de control de acceso, la configuración incorrecta sube al #2 y entran la cadena de suministro y el manejo de condiciones excepcionales.

OWASP ya publica la traducción oficial al español. Aquí la resumo y añado lo que no trae: los cambios frente a 2021 en una tabla, dónde practicar cada categoría gratis y qué cursos la tratan. Datos consultados el 28 de octubre de 2026, sin cargas de ataque.

Respuesta corta: qué es el OWASP Top 10

• Qué es: según OWASP, un documento de concienciación para desarrolladores con «un amplio consenso» sobre los riesgos más críticos de las aplicaciones web.
• Quién lo hace: OWASP (Open Worldwide Application Security Project), fundación sin ánimo de lucro de Estados Unidos, nacida como proyecto en 2001. Todos sus documentos son gratuitos.
• Edición vigente: la 2025, la octava. Las dos anteriores son de 2021 y 2017; la primera, de 2003.
• Categorías, no fallos sueltos: cada una agrupa debilidades del catálogo CWE de MITRE, de 5 a 40 por categoría.
• Qué no es: una certificación. En la edición 2021, OWASP advertía que como estándar de codificación o de pruebas el Top 10 «es lo mínimo», y para eso recomendaba ASVS.

Las 10 categorías del OWASP Top 10:2025

Nombres de la lista oficial en español (su menú usa a veces variantes, como «Control de Acceso Roto»). CWE: la tabla de cada categoría.

Qué cambió frente a 2021

OWASP lo resume en «dos categorías nuevas y una consolidación»:

• Datos: más de 2.8 millones de aplicaciones, aportadas por empresas como Veracode, Semgrep o Bugcrowd, y 589 CWE analizadas (casi 400 en 2021).
• Encuesta: 8 categorías salen de los datos y 2 de una encuesta a la comunidad: A03, que el 50 % de los encuestados puso en el #1, y A09, que según OWASP siempre estará infrarrepresentada en los datos.
• Lo que quedó fuera: tres riesgos al límite, entre ellos la confianza inapropiada en el código generado por IA, el llamado «vibe coding».

Las 10 categorías explicadas

Qué es, un ejemplo de los escenarios de OWASP y cómo se previene, con su guía rápida (cheat sheet).

A01:2025 Pérdida de Control de Acceso

Qué es: un usuario lee, cambia o borra lo que no le toca. Ejemplo: la página de una cuenta toma el número de la URL; al cambiarlo, ves la de otra persona. Prevención: denegar por defecto y comprobar en el servidor, no en el navegador, que cada registro es de quien lo pide. Guía: Authorization.

A02:2025 Configuración de Seguridad Incorrecta

Qué es: la aplicación, el servidor o la nube quedan mal configurados. Ejemplo: producción conserva las aplicaciones de ejemplo y una consola de administración con la contraseña predeterminada. Prevención: bastionado (hardening) repetible y automatizado, y una plataforma mínima, sin funciones que no uses. Guía: XXE Prevention, para la XXE, que OWASP clasifica aquí.

A03:2025 Fallas en la Cadena de Suministro de Software

Qué es: un compromiso al construir, distribuir o actualizar el software, a menudo vía terceros. Ejemplo: OWASP cita SolarWinds, con unas 18,000 organizaciones comprometidas al actualizar, y Shai-Hulud, un gusano de npm de 2025. Prevención: una lista de materiales de software (SBOM) con las dependencias transitivas, y quitar las que no uses. Guía: Vulnerable Dependency Management.

A04:2025 Fallas Criptográficas

Qué es: datos sensibles sin cifrar o con criptografía débil. Ejemplo: un sitio sin TLS en todas sus páginas deja que alguien en una wifi insegura robe la cookie de sesión. Prevención: TLS 1.2 o superior con HSTS, cifrado en reposo y contraseñas guardadas con funciones lentas y con sal, como Argon2. Guía: Password Storage.

A05:2025 Inyección

Qué es: una entrada no confiable llega a un intérprete y se ejecuta como comando. Según OWASP, el XSS suma más de 30,000 CVE y la inyección SQL, más de 14,000. Ejemplo: una consulta SQL que concatena el parámetro de la URL devuelve toda la tabla. Prevención: consultas parametrizadas o un ORM y, como apoyo, validación en el servidor con listas permitidas. Guía: SQL Injection Prevention.

A06:2025 Diseño Inseguro

Qué es: el fallo está en el diseño y, según OWASP, no se arregla con una implementación perfecta. Ejemplo: un cine admite reservas de grupo de hasta quince personas sin depósito, y nadie impide reservar seiscientos asientos. Prevención: modelado de amenazas, patrones de diseño seguro y pruebas con casos de mal uso. Guía: Secure Product Design.

A07:2025 Fallas de Autenticación

Qué es: el sistema acepta como legítimo a quien no lo es. Ejemplo: el relleno de credenciales prueba contraseñas filtradas o variantes como «Invierno2026» por «Invierno2025», y nada lo frena. Prevención: autenticación multifactor, cero credenciales predeterminadas, rechazar las 10,000 peores contraseñas y limitar los intentos fallidos. Guía: Authentication.

A08:2025 Fallas en la Integridad del Software o de los Datos

Qué es: se confía en código, actualizaciones o datos sin verificar que no fueron alterados. Ejemplo: routers que instalan firmware sin firma. Prevención: firmas digitales, repositorios de confianza, revisión de cambios, CI/CD con control de acceso y no aceptar datos serializados sin firma. Guía: Deserialization.

A09:2025 Fallas en el Registro, Alerta y Monitoreo de Seguridad

Qué es: no se registra lo importante o nadie recibe la alerta. Ejemplo: OWASP cita a un proveedor de planes de salud infantil que, sin registros ni monitoreo, no detectó el acceso a datos de más de 3.5 millones de niños. Prevención: registrar los fallos de inicio de sesión, de acceso y de validación con contexto, alertar y tener un plan de respuesta. Guía: Logging.

A10:2025 Manejo Inadecuado de Condiciones Excepcionales

Qué es: la aplicación maneja mal una situación anormal: falla en modo abierto, filtra datos o queda inconsistente. Ejemplo: un error de base de datos mostrado completo ayuda a afinar una inyección SQL. Prevención: capturar cada error donde ocurre, registrarlo, un manejador global y revertir completa cualquier transacción a medias. Guía: Error Handling.

Dónde practicar el OWASP Top 10 de forma legal y gratis

La Web Security Academy de PortSwigger, creadores de Burp Suite, es 100 % gratuita y tiene laboratorios interactivos. OWASP Juice Shop es una aplicación web insegura a propósito que, según OWASP, reúne fallos de todo el Top 10. Temas de la academia por categoría:

Hack The Box anunció el 6 de febrero de 2026 su track OWASP Top 10 2025, con 10 retos de nivel muy fácil a medio. Cuál plataforma conviene, con precios y plan de estudio: TryHackMe vs Hack The Box.

OWASP Top 10 de API y de IA: las otras listas

• API Security Top 10 2023: riesgos propios de las API, encabezados por la autorización rota a nivel de objeto (BOLA). No tiene versión en español.
• Top 10 para LLM 2025: de LLM01, la inyección de prompts, a LLM10, el consumo sin límites. Lo mantiene el OWASP GenAI Security Project, proyecto insignia desde marzo de 2025.
• Top 10 para aplicaciones agénticas 2026: publicado el 9 de diciembre de 2025, para agentes de IA que planean y ejecutan acciones.
• ASVS: el estándar de verificación, con requisitos para diseñar, desarrollar y probar aplicaciones web; la versión 5.0.0 es del 30 de mayo de 2025.
• Developer Guide en español: útil, aunque su página del Top 10 todavía da la de 2021 como la última versión.

Qué curso cubre el OWASP Top 10

Ninguno de los cursos en español que analizamos está dedicado al Top 10:2025. Según su temario, revisado para nuestras reseñas el 11 de octubre de 2026 (entre paréntesis, el Puntaje RDC):

Como ingeniero, recomiendo: si programas, Desarrollo de Software Seguro y después la Web Security Academy; si vas por lo ofensivo, la sección web de Santiago Hernández. Con cualquiera, contrasta con la edición 2025. Más opciones en el listado del curso de hacking ético.

Para certificarte, el curso de Security+ SY0-701 que analizamos (8.4) incluye inyección SQL, XSS y cadena de suministro; el examen está en la ficha de CompTIA Security+.

En una carrera, el Top 10 encaja en la ruta de ciberseguridad y en la de desarrollador web full stack. Si empiezas de cero, antes va la Introducción a la Ciberseguridad de Cisco. Sueldos en cuánto gana un especialista en ciberseguridad en México, y más opciones en cursos de ciberseguridad gratis y en cursos de ciberseguridad.

Preguntas frecuentes