OWASP Top 10 — це awareness-документ про найкритичніші категорії ризиків вебзастосунків. У версії 2025 перелік оновлено, тому старі списки з SQL Injection на першому місці вже не відповідають актуальній структурі OWASP.

OWASP Top 10:2025

  1. Broken Access Control. Користувач отримує доступ до дій або даних, на які не має прав.
  2. Security Misconfiguration. Небезпечні налаштування, зайві сервіси, стандартні облікові дані або неправильні security headers.
  3. Software Supply Chain Failures. Ризики залежностей, build-процесу та сторонніх компонентів.
  4. Cryptographic Failures. Неправильний захист чутливих даних і ключів.
  5. Injection. Недовірені дані змінюють логіку запиту або команди; сюди належать, зокрема, SQL-ін’єкції.
  6. Insecure Design. Ризики, закладені ще на рівні вимог і архітектури.
  7. Authentication Failures. Помилки входу, сесій і керування обліковими даними.
  8. Software or Data Integrity Failures. Недостатня перевірка цілісності коду, оновлень або даних.
  9. Security Logging and Alerting Failures. Атака відбувається, але система не дає команді достатнього сигналу.
  10. Mishandling of Exceptional Conditions. Помилки обробки неочікуваних станів можуть призводити до небезпечної поведінки.

Що робити на практиці

Безпека не зводиться до одного сканера. Включіть threat modeling для критичних сценаріїв, code review, dependency scanning, принцип найменших привілеїв, централізоване логування та регулярне тестування контролів доступу.

Для введення даних використовуйте параметризовані запити, контекстне екранування та перевірені бібліотеки. Для автентифікації — безпечне керування сесіями, MFA там, де це виправдано, і захист від brute force.

Джерело: OWASP Top 10:2025.