Glossário · Segurança
OWASP Top 10
Também chamado de: OWASP Top Ten, lista OWASP Top 10, top 10 OWASP
Definição
Lista de conscientização da OWASP com as dez categorias de risco de segurança mais críticas em aplicações web, muito usada para definir o escopo de testes de segurança.
O OWASP Top 10 é um documento do Open Worldwide Application Security Project que classifica as categorias mais críticas de risco de segurança em aplicações web, com base em dados de vulnerabilidades e contribuições da comunidade. É um documento de conscientização, não um padrão completo: ele diz por onde começar a olhar, enquanto um framework como o OWASP Application Security Verification Standard (ASVS) traz requisitos detalhados e testáveis.
A lista de 2021
| ID | Categoria | O que um tester verifica, por exemplo |
|---|---|---|
| A01 | Broken Access Control (quebra de controle de acesso) | O usuário A consegue ler ou alterar os dados do usuário B? Um usuário comum consegue chamar endpoints de admin? |
| A02 | Cryptographic Failures (falhas criptográficas) | Dados sensíveis enviados por HTTP sem criptografia, hash de senha fraco, segredos nas respostas |
| A03 | Injection (injeção) | Injeção de SQL, de comandos e NoSQL; cross-site scripting está agrupado aqui |
| A04 | Insecure Design (design inseguro) | Faltam limites na lógica de negócio, como reutilização ilimitada de cupons |
| A05 | Security Misconfiguration (configuração de segurança incorreta) | Credenciais padrão, stack traces detalhados, storage em nuvem aberto, headers ausentes |
| A06 | Vulnerable and Outdated Components (componentes vulneráveis e desatualizados) | Dependências com CVEs conhecidas |
| A07 | Identification and Authentication Failures (falhas de identificação e autenticação) | Gestão de sessão fraca, sem proteção contra força bruta, redefinição de senha quebrada |
| A08 | Software and Data Integrity Failures (falhas de integridade de software e dados) | Atualizações sem assinatura, desserialização insegura, entradas não confiáveis no CI/CD |
| A09 | Security Logging and Monitoring Failures (falhas de log e monitoramento de segurança) | Logins com falha e acessos negados que não são registrados nem geram alerta |
| A10 | Server-Side Request Forgery (SSRF) | Um parâmetro de URL que faz o servidor buscar endereços internos |
A OWASP atualiza a lista a cada poucos anos. Confira em owasp.org qual é a edição atual antes de citar números de categoria em um relatório, porque as posições e os agrupamentos mudam entre as versões.
Como os testers usam a lista
- Definição de escopo. Mapeie cada categoria para verificações concretas da sua aplicação e depois decida quais automatizar, quais cobrir manualmente e quais cabem a um pentest especializado.
- Automação onde faz sentido. Verificações de controle de acesso (dois usuários, troca de IDs, esperar
403ou404) e scan de dependências rodam bem no CI. Scanners dinâmicos como o OWASP ZAP podem rodar contra staging.
Erros comuns
Tratar a lista como um checklist que, depois de marcado, significa “seguro”, e confundi-la com as listas Top 10 separadas da OWASP para APIs e para aplicações com LLM, que têm categorias próprias.
Teste apenas sistemas que são seus ou para os quais você tem autorização por escrito.