OWASP Top 10: os 10 riscos que derrubam aplicações web
A lista da OWASP é a referência mundial para saber onde as aplicações web mais falham. Aqui estão os 10 riscos da versão 2025, em português, com o que cada um significa para o negócio e o controle que responde a ele.
A01:2025
Controle de acesso quebrado (Broken Access Control)
Risco: Um usuário vê ou altera dados de outro, ou acessa funções de administrador.
Controle: Checar no servidor, em toda requisição, se o usuário pode acessar aquele objeto.
A02:2025
Configuração insegura (Security Misconfiguration)
Risco: Painéis expostos, contas padrão, mensagens de erro detalhadas, cabeçalhos de segurança ausentes.
Controle: Configuração revisada e padronizada em todos os ambientes, sem nada além do necessário.
A03:2025
Falhas na cadeia de suprimentos (Software Supply Chain Failures)
Risco: Bibliotecas, plugins ou pipelines de terceiros vulneráveis ou comprometidos.
Controle: Inventário de dependências, atualização constante e origem verificada.
A04:2025
Falhas de criptografia (Cryptographic Failures)
Risco: Dados sensíveis trafegando ou guardados sem proteção adequada.
Controle: HTTPS em tudo, senhas com hash forte e dados sensíveis criptografados.
A05:2025
Injeção (Injection)
Risco: Dados do usuário viram comando no banco de dados, no navegador (XSS) ou no sistema.
Controle: Consultas parametrizadas, validação de entrada e escape da saída.
A06:2025
Design inseguro (Insecure Design)
Risco: Regras de negócio que podem ser burladas: preço, cupom, limite, fluxo de pagamento.
Controle: Pensar nos abusos possíveis desde o desenho do fluxo, não só no código.
A07:2025
Falhas de autenticação (Authentication Failures)
Risco: Tomada de conta por senha fraca, recuperação de senha falha ou sessão mal controlada.
Controle: MFA, limite de tentativas, recuperação de senha segura e sessão que expira.
A08:2025
Falhas de integridade (Software or Data Integrity Failures)
Risco: Atualizações, dados ou scripts aceitos sem verificar se foram adulterados.
Controle: Assinatura e verificação de integridade em atualizações, dados e scripts de terceiros.
A09:2025
Falhas de registro e alerta (Security Logging & Alerting Failures)
Risco: O ataque acontece e ninguém percebe, ou não há como investigar depois.
Controle: Logs de eventos de segurança e alertas que alguém de fato acompanha.
A10:2025
Tratamento inadequado de exceções (Mishandling of Exceptional Conditions)
Risco: Erros e situações inesperadas deixam o sistema num estado inseguro ou vazam informação.
Controle: Tratar erros de forma segura: falhar fechado, sem expor detalhes internos.
Fonte: OWASP Top 10:2025. Nomes em português são tradução livre da Sovereign Tech. Tem chatbot ou IA no produto? Veja também o OWASP Top 10 para LLM.
O que dá para ver de fora e o que só um pentest mostra
Configuração insegura (A02), parte das falhas de criptografia (A04) e segredos expostos no código aparecem numa verificação passiva: verifique seu site grátis.
Os riscos que mais custam caro, como controle de acesso (A01), autenticação (A07) e regras de negócio (A06), só aparecem quando alguém testa a aplicação por dentro, com contas de usuário e autorização. É o que faz um pentest em aplicações web.
Perguntas frequentes
Dúvidas comuns sobre o OWASP Top 10.
Quer saber como sua aplicação se sai nos 10 itens?
Testamos cada risco do OWASP Top 10 contra o seu sistema real e entregamos evidência, correção e reteste.