OWASP Top 10 2025: daftar risiko aplikasi web

Daftar untuk mengenali risiko aplikasi web

OWASP Top 10 2025 adalah dokumen pengenalan risiko keamanan aplikasi web. Ia membantu pemilik produk, pengembang, dan penguji memakai istilah yang sama. Daftar ini bukan checklist lengkap atau sertifikat bahwa aplikasi aman.

Halaman ini memakai edisi 2025. Nomor dan nama kategori dapat berubah antar-edisi. Bila membaca laporan lama, periksa edisi yang dipakai sebelum membandingkan label A01 atau A05.

Sepuluh kategori edisi 2025

1. Broken Access Control — akses melewati izin pengguna.
2. Security Misconfiguration — pengaturan sistem yang tidak aman.
3. Software Supply Chain Failures — risiko rantai pasok perangkat lunak.
4. Cryptographic Failures — kegagalan melindungi data dengan kriptografi.
5. Injection — masukan terbaca sebagai perintah.
6. Insecure Design — aturan aplikasi berisiko sejak desain.
7. Authentication Failures — kelemahan login, sesi, dan pemulihan akun.
8. Software or Data Integrity Failures — keutuhan perangkat lunak atau data tidak diperiksa.
9. Security Logging and Alerting Failures — kejadian penting tidak tercatat atau ditindaklanjuti.
10. Mishandling of Exceptional Conditions — kondisi gagal ditangani secara tidak aman.

Bagaimana memakai daftar ini pada proyek?

Contoh fiktif: tim akan membuka fitur ekspor pesanan. Mereka menanyakan siapa yang boleh mengekspor, data pelanggan mana yang boleh masuk, bagaimana berkas disimpan, dan apa yang terjadi bila proses gagal. Jawabannya dapat berkaitan dengan beberapa kategori sekaligus.

Jangan berhenti pada centang “A01 sudah diuji”. Catat fitur, peran pengguna, aturan yang diharapkan, kasus uji, hasil, dan batas pemeriksaan. Jika ada temuan, tetapkan pemilik perbaikan dan periksa ulang hasilnya.

Nomor kategori bukan antrean kerja yang berlaku untuk semua aplikasi. Temuan pada data sensitif yang dapat diakses pihak luar perlu dinilai berdasarkan konteksnya, meskipun nomor kategorinya lebih besar. Gunakan cara membaca laporan pentest untuk menghubungkan temuan dengan keputusan tim.

Apakah daftar API dan mobile sama?

Tidak. OWASP API Security Top 10 memiliki daftar tersendiri; halaman Kompli memakai edisi 2023. Pengamanan mobile juga mencakup perangkat dan aplikasi klien, yang dapat dirujuk melalui MASVS. Memeriksa daftar web saja belum mencakup semuanya.

Lanjutkan ke perbandingan Top 10, ASVS, WSTG, dan MASVS untuk memilih persyaratan dan panduan pengujian. Jika baru mengenal istilahnya, mulai dari apa itu OWASP.

Daftar kategori diadaptasi dari OWASP Top 10 Team, edisi 2025, berlisensi CC BY 3.0. Penjelasan Indonesia dan contoh disusun Kompli.