O que é o OWASP Top 10
É a lista das 10 categorias de risco mais críticas e mais comuns em aplicações web, mantida pela OWASP, uma organização sem fins lucrativos dedicada a segurança de software. É atualizada periodicamente e usada como referência em praticamente todo pentest e auditoria de segurança do mundo.
As 10 categorias
- Quebra de controle de acesso: quando o sistema não verifica direito se quem pede um recurso tem permissão pra ver ou alterar aquele recurso. Inclui o IDOR, que já explicamos num post separado.
- Falhas criptográficas: dado sensível guardado ou transmitido sem proteção adequada.
- Injeção: entrada do usuário que vira comando executado pelo sistema, tipo injeção de SQL.
- Design inseguro: falha que já nasce na concepção do sistema, antes mesmo de qualquer linha de código.
- Configuração de segurança incorreta: serviço exposto, permissão liberada demais, configuração padrão insegura deixada como veio de fábrica.
- Componentes vulneráveis e desatualizados: biblioteca ou dependência com vulnerabilidade já conhecida publicamente.
- Falhas de identificação e autenticação: login, sessão ou recuperação de senha implementados de forma frágil.
- Falhas de integridade de software e dado: processo de build, atualização ou deploy que não verifica a integridade do que está sendo instalado.
- Falhas de log e monitoramento: ataque acontecendo sem que ninguém perceba, por falta de registro e alerta.
- Server-Side Request Forgery (SSRF): o servidor sendo enganado a fazer requisição pra um endereço que o atacante escolhe.
Por que essa lista importa pro seu SaaS
Não é teoria acadêmica. É literalmente o que um pentest de verdade testa item por item, e é a referência que qualquer auditoria de compliance vai usar pra avaliar sua aplicação.
Quer saber como sua aplicação se sai contra essa lista?
Solicitar Pentest em Aplicações Web