Glossario · Sicurezza
OWASP Top 10
Detto anche: OWASP Top Ten, lista OWASP Top 10, top 10 OWASP
Definizione
L'elenco di sensibilizzazione di OWASP con le dieci categorie di rischio più critiche per la sicurezza delle applicazioni web, usato per definire security test e code review.
L’OWASP Top 10 è un documento dell’Open Worldwide Application Security Project che classifica le categorie più critiche di rischio per la sicurezza delle applicazioni web, sulla base di dati sulle vulnerabilità e del contributo della community. È un documento di sensibilizzazione, non uno standard completo: ti dice dove guardare per primo, mentre un framework come l’OWASP Application Security Verification Standard (ASVS) fornisce requisiti dettagliati e verificabili.
La lista del 2021
| ID | Categoria | Cosa verifica un tester, ad esempio |
|---|---|---|
| A01 | Broken Access Control | L’utente A può leggere o modificare i dati dell’utente B? Un utente normale può chiamare gli endpoint di amministrazione? |
| A02 | Cryptographic Failures | Dati sensibili inviati in HTTP in chiaro, hashing delle password debole, secret nelle risposte |
| A03 | Injection | SQL injection, command injection e NoSQL injection; qui rientra anche il cross-site scripting |
| A04 | Insecure Design | Limiti di logica di business mancanti, ad esempio coupon riutilizzabili all’infinito |
| A05 | Security Misconfiguration | Credenziali di default, stack trace troppo verbosi, storage cloud aperto, header mancanti |
| A06 | Vulnerable and Outdated Components | Dipendenze con CVE note |
| A07 | Identification and Authentication Failures | Gestione delle sessioni debole, nessuna protezione dal brute force, reset della password difettoso |
| A08 | Software and Data Integrity Failures | Aggiornamenti non firmati, deserializzazione insicura, input CI/CD non fidati |
| A09 | Security Logging and Monitoring Failures | Login falliti e accessi negati non registrati né segnalati |
| A10 | Server-Side Request Forgery (SSRF) | Un parametro URL che fa recuperare al server indirizzi interni |
OWASP aggiorna la lista ogni pochi anni. Controlla su owasp.org l’edizione corrente prima di citare i numeri delle categorie in un report, perché classifiche e raggruppamenti cambiano da una versione all’altra.
Come la usano i tester
- Definizione dello scope. Associa ogni categoria a controlli concreti per la tua applicazione, poi decidi quali automatizzare, quali coprire manualmente e quali lasciare a un penetration test specialistico.
- Automazione dove ha senso. I controlli sull’access control (due utenti, scambio degli ID, attesa di
403o404) e la scansione delle dipendenze funzionano bene in CI. Scanner dinamici come OWASP ZAP possono girare contro l’ambiente di staging.
Errori comuni
Trattare la lista come una checklist che, una volta spuntata, significa “sicuro”, e confonderla con le Top 10 separate di OWASP per le API e per le applicazioni LLM, che hanno categorie proprie.
Testa solo sistemi di tua proprietà o per cui hai un’autorizzazione scritta.