Quelques familles de failles concentrent la grande majorité des incidents applicatifs constatés.
Injection SQL, injection de commandes, scripts intersites. La parade est identique : ne jamais construire une instruction par concaténation de données utilisateur, mais employer des requêtes paramétrées et un échappement adapté au contexte de sortie.
Vérifier les droits côté serveur à chaque requête, et non seulement à l'affichage. Les défauts de contrôle d'accès figurent régulièrement en tête des classements de vulnérabilités applicatives.
Une application moderne repose sur des centaines de bibliothèques tierces. Leur inventaire, leur mise à jour et la surveillance des vulnérabilités publiées font partie du travail courant.