El último OWASP Top 10 consolidado es el de 2021, y sigue siendo la edición que se usa como referencia en auditorías, checklists de cumplimiento y programas de formación. OWASP ha trabajado en una revisión posterior, la de 2025, que actualiza el listado y refuerza temas como la cadena de suministro de software y los fallos de configuración, pero muchas organizaciones continúan evaluándose contra la versión de 2021 porque es la que aparece en contratos y marcos de seguridad vigentes.
La respuesta corta, por tanto, es: la edición más reciente y ampliamente adoptada es la de 2021. Si alguien pregunta en una entrevista o en una auditoría, conviene decir esa fecha y añadir que existe una actualización en curso, porque demuestra que se sigue el tema y no se memoriza una lista vieja.
Qué es el OWASP Top 10 y por qué cambia
El OWASP Top 10 es una lista de las diez categorías de riesgo de seguridad más críticas para aplicaciones web. No es una norma certificable ni una ley: es un documento de concienciación elaborado por la comunidad abierta OWASP a partir de datos de vulnerabilidades reales, encuestas a profesionales y análisis de incidentes. Su valor está en que ofrece un lenguaje común entre desarrolladores, auditores y equipos de negocio.
La lista se actualiza cada pocos años. La versión de 2017 ordenó las categorías por incidencia y gravedad, y la de 2021 introdujo cambios de fondo: renombró varias categorías, agrupó otras y añadió riesgos que habían crecido en la práctica, como el diseño inseguro y la integridad del software y de los datos. Ese enfoque se mantiene en la revisión posterior.
Las categorías principales de la edición 2021
| Puesto | Categoría | Qué cubre | Ejemplo típico |
|---|---|---|---|
| A01 | Control de acceso roto | Permisos mal aplicados | Ver datos de otro usuario cambiando un ID |
| A02 | Fallos criptográficos | Cifrado débil o ausente | Contraseñas en texto plano |
| A03 | Inyección | SQL, comandos, plantillas | Consulta SQL concatenada |
| A04 | Diseño inseguro | Falta de modelado de amenazas | Recuperación de cuenta sin verificación |
| A05 | Configuración incorrecta | Servidores y nubes mal ajustados | Bucket de almacenamiento público |
El resto de la lista se completa con A06 Componentes vulnerables y desactualizados, A07 Fallos de identificación y autenticación, A08 Fallos de integridad de software y datos, A09 Fallos de registro y monitorización y A10 Falsificación de solicitudes del lado del servidor. Las diez categorías no son diez vulnerabilidades concretas, sino diez familias que agrupan cientos de fallos posibles.
Un error habitual es tratar la lista como un ranking de gravedad. El orden refleja una combinación de frecuencia, explotabilidad e impacto, no una escala absoluta. A01 puede ser menos grave que A03 en un sistema concreto, pero aparece primero porque es muy común y muy difícil de detectar con herramientas automáticas.
Qué cambia en la revisión de 2025
La actualización de 2025 no reescribe la filosofía del documento, pero sí ajusta el foco. Los borradores y discusiones públicas apuntan a un peso mayor de la cadena de suministro, la configuración de servicios en la nube y los riesgos derivados de la automatización y de los sistemas que consumen modelos de lenguaje. También se espera una revisión de la categoría de autenticación, que en 2021 quedó algo diluida.
Para un equipo que hoy tiene que priorizar, la recomendación práctica es doble: mantener el mapeo contra 2021, que es lo que piden los auditores, y leer la propuesta nueva para anticipar cambios en el backlog. No conviene rehacer toda la política de seguridad el día que se publica una edición; conviene entender qué controles nuevos exige y cuáles ya estaban cubiertos con otra etiqueta.
Las herramientas de análisis automático suelen etiquetar los hallazgos con la nomenclatura de 2021. Si el equipo migra a la nueva lista sin actualizar las reglas del escáner, se producen duplicados y se pierde trazabilidad. Por eso la transición debe hacerse por capas: primero el mapa de equivalencias, después las plantillas de reporte y por último la formación.
Cómo aplicar la lista sin convertirla en un trámite
El primer paso es traducir cada categoría a controles concretos del sistema. A01 se convierte en pruebas de autorización por objeto y por función. A02, en inventario de algoritmos y gestión de claves. A03, en consultas parametrizadas y validación de entrada. A04, en sesiones de modelado de amenazas antes de escribir código. A05, en líneas base de configuración y revisión de infraestructura como código.
El segundo paso es asignar responsables. Un Top 10 que se queda en manos del equipo de seguridad no cambia nada: los fallos se introducen en el diseño y en el código, así que las decisiones tienen que estar en el ciclo de desarrollo. Las revisiones de código deberían incluir una pregunta explícita sobre control de acceso y sobre tratamiento de datos sensibles.
El tercer paso es medir. No basta con decir que se sigue OWASP; hay que saber cuántos hallazgos de cada categoría se detectan por trimestre, cuánto tardan en corregirse y cuántos reaparecen. Esa métrica es la que demuestra si el programa funciona.
«El Top 10 no es una lista para memorizar, es un mapa para priorizar. El error más común que veo en auditorías es que la empresa tiene las diez categorías en un PDF y ninguna en el pipeline de integración continua», explica Andrés Peláez, ingeniero de seguridad de aplicaciones, consultado a nuestro requerimiento.
Peláez recomienda empezar por A01 y A05 en casi cualquier organización, porque son las que producen más incidentes evitables y las que se corrigen con menos inversión. Después, según el tipo de negocio, A03 y A07 suben o bajan de prioridad.
Errores frecuentes al interpretar el listado
Uno de los errores más extendidos es creer que una aplicación que pasa un escáner está cubierta. Los escáneres detectan bien inyecciones y configuraciones, pero son malos encontrando control de acceso roto y diseño inseguro, que precisamente encabezan la lista. La revisión manual y las pruebas de lógica de negocio siguen siendo imprescindibles.
Otro error es aplicar la lista solo al backend. El control de acceso también se rompe en el frontend, las claves se filtran en el código JavaScript y la configuración incorrecta aparece en aplicaciones móviles y en funciones serverless. El alcance debe cubrir todo lo que procesa datos.
Un tercer error es confundir cumplimiento con seguridad. Tener el mapeo de OWASP al día puede satisfacer a un cliente o a un regulador, pero no impide que un atacante explote una lógica de negocio mal diseñada. La lista es un punto de partida, no una garantía.
Preguntas frecuentes
¿Cuál es la diferencia entre OWASP Top 10 y OWASP ASVS?
El Top 10 es un documento de concienciación con diez categorías amplias. ASVS es un estándar de verificación con requisitos concretos y niveles de profundidad, pensado para auditar aplicaciones con detalle.
¿Cada cuánto se actualiza?
No hay un calendario fijo. Ha habido ediciones en 2010, 2013, 2017, 2021 y una revisión posterior en torno a 2025. El intervalo habitual ronda los tres o cuatro años.
¿Sirve para aplicaciones móviles y API?
Sirve como base, aunque para API existe el OWASP API Security Top 10 y para móviles el OWASP Mobile Top 10, que cubren riesgos específicos que el listado web general no detalla.
¿Es obligatorio por ley?
No es una norma legal. Muchos contratos, pliegos y marcos de seguridad lo citan como referencia, y algunas regulaciones lo usan como buena práctica reconocida, pero no existe una obligación legal directa por sí mismo.
Qué hacer esta semana
Si el objetivo es ponerse al día, hay tres acciones útiles. Primero, confirmar qué edición exige el cliente o el marco aplicable y documentarlo. Segundo, revisar el mapa de controles frente a las diez categorías y marcar las que no tienen ninguna prueba asociada. Tercero, elegir una categoría y llevarla al pipeline: por ejemplo, añadir una prueba automatizada de autorización por objeto para detectar A01 antes de desplegar.
El último OWASP Top 10 es, en la práctica, una foto de los riesgos que más se repiten. La edición de 2021 sigue siendo el estándar de trabajo, y la revisión de 2025 marca hacia dónde se mueve el consenso: más cadena de suministro, más nube y más atención al diseño. Quien entienda esa evolución estará mejor preparado que quien solo memorice diez nombres.
¿Te gustó el artículo? Estaremos muy agradecidos por cualquier donación!