OWASP Top 10 explicado sin jerga

OWASP (Open Worldwide Application Security Project) publica cada pocos años una lista de las 10 categorías de vulnerabilidades más críticas en aplicaciones web, basada en datos reales de miles de aplicaciones evaluadas. Es la referencia que usamos —junto con el resto de la OWASP Testing Guide— para estructurar un pentest de aplicaciones web. Acá va explicada en español simple, sin el nombre técnico como única pista.

Las 10 categorías (versión 2021, la vigente)

• Control de acceso roto: un usuario puede hacer o ver algo que no debería — por ejemplo, cambiar un número en la URL y acceder a los datos de otro usuario (esto se llama IDOR, y es de los hallazgos más comunes que reportamos).
• Fallas criptográficas: datos sensibles guardados o transmitidos sin cifrado, o con cifrado tan débil que da lo mismo que no exista.
• Inyección: el sistema mezcla datos que ingresa el usuario con comandos que ejecuta el servidor (SQL, comandos de sistema, plantillas) sin separarlos correctamente — el usuario termina "hablándole" directo a la base de datos o al sistema operativo.
• Diseño inseguro: el problema no es un bug puntual, es que el sistema se diseñó sin pensar en cómo podría abusarse — un fallo de arquitectura, no de implementación.
• Configuración de seguridad incorrecta: paneles de administración expuestos, mensajes de error que revelan de más, configuraciones por defecto que nadie cambió después de instalar algo.
• Componentes vulnerables y desactualizados: una librería, plugin o framework con una vulnerabilidad conocida y pública, que nunca se actualizó.
• Fallas de identificación y autenticación: desde contraseñas débiles permitidas hasta sesiones que nunca expiran o tokens fáciles de adivinar.
• Fallas de integridad de software y datos: el sistema confía en código o actualizaciones sin verificar que vengan de donde dicen venir.
• Fallas de registro y monitoreo: cuando algo pasa, nadie se entera — no hay logs suficientes, o nadie los revisa, así que un atacante puede quedarse meses sin ser detectado.
• Server-Side Request Forgery (SSRF): el servidor puede ser engañado para hacer solicitudes a lugares que no debería, a veces incluso a servicios internos que no son accesibles desde afuera.

Por qué esta lista sigue siendo relevante

No es un checklist que se marca y se olvida. Encontramos versiones de estas mismas categorías en prácticamente todos los pentests que hacemos, sin importar el rubro o el tamaño de la empresa — la tecnología cambia, pero los errores de fondo (confiar en algo que no debería confiarse, no verificar quién puede acceder a qué) se repiten. Por eso es el punto de partida de la metodología, no el final — acá explicamos qué es realmente un pentest y cuándo tiene sentido contratar uno. Si ya tienes un hallazgo puntual de alguna de estas categorías y necesitas priorizarlo, nuestra calculadora CVSS te da el puntaje de severidad en segundos — y si quieres entender qué significa ese número, acá lo explicamos sin jerga.