OWASP Top 10
Lista estándar del sector con los 10 riesgos de seguridad más críticos en aplicaciones web. OWASP (Open Worldwide Application Security Project) la actualiza cada 3 o 4 años. La última es de 2021 (se espera la de 2025).
Lista de 2021: A01 Control de acceso roto (el número uno), A02 Fallos criptográficos, A03 Inyección (SQLi y demás), A04 Diseño inseguro, A05 Configuración incorrecta, A06 Componentes vulnerables, A07 Fallos de identificación y autenticación, A08 Fallos de integridad de software y datos, A09 Registro y monitorización insuficientes, A10 SSRF. Se cita en normativas de cumplimiento (PCI-DSS, ISO 27001, NIST). OWASP mantiene además las Cheat Sheets, el escáner ZAP y ASVS (el estándar de verificación).