Glossário de segurança

O que é o OWASP Top 10?

O OWASP Top 10 é uma lista, atualizada com regularidade e mantida pela comunidade, dos riscos de segurança mais críticos das aplicações web, publicada pelo Open Worldwide Application Security Project. É a referência comum do setor para o risco aplicacional, mas é um documento de sensibilização, não uma checklist de testes.

O que é (e o que não é)

O Top 10 sensibiliza para as categorias de risco que mais comum e gravemente afetam as aplicações web, para que as equipas e as partes interessadas partilhem um vocabulário. Não é deliberadamente uma norma completa nem um plano de testes: para uma cobertura sistemática, usa o OWASP Web Security Testing Guide (WSTG) para os casos de teste e o OWASP Application Security Verification Standard (ASVS) para os requisitos ao nível dos controlos. O Top 10 enquadra o risco; o WSTG e o ASVS conduzem os testes propriamente ditos.

A edição atual: 2025

A versão atual é o OWASP Top 10 2025. Se ainda vir referências a 2021, estão desatualizadas. As categorias de 2025 são: A01 Controlo de Acessos Quebrado, A02 Configuração de Segurança Incorreta, A03 Falhas na Cadeia de Fornecimento de Software, A04 Falhas Criptográficas, A05 Injeção, A06 Desenho Inseguro, A07 Falhas de Autenticação, A08 Falhas de Integridade de Software ou de Dados, A09 Falhas de Registo e Alerta de Segurança e A10 Tratamento Indevido de Condições Excecionais.

O que mudou em 2025

O Controlo de Acessos Quebrado mantém-se no topo: é, de forma consistente, o risco web grave mais comum, e é por isso que os testes autenticados com várias funções importam tanto. Entre as mudanças mais notáveis estão a subida da Configuração de Segurança Incorreta para A02, uma nova categoria de Falhas na Cadeia de Fornecimento de Software (A03), que alarga o antigo tema dos «componentes vulneráveis», e uma nova A10 dedicada ao tratamento indevido de condições excecionais. As categorias mudam à medida que mudam os dados reais e as ameaças.

Como é usado num pentest

Numa avaliação web, o Top 10 é normalmente usado para enquadrar e comunicar os achados, associando cada problema a uma categoria de risco que a liderança reconhece. A profundidade vem dos casos de teste do WSTG e da verificação face ao ASVS. Existe também um OWASP API Security Top 10 (edição atual: 2023) para as APIs e o projeto OWASP Mobile Application Security (MASVS/MASTG) para mobile, porque essas superfícies têm riscos próprios.

Perguntas frequentes

É uma lista atualizada regularmente e impulsionada pela comunidade dos riscos de segurança mais críticos para aplicações web, publicada pela OWASP. É o ponto de referência comum do setor para o risco aplicacional, mas é deliberadamente um documento de sensibilização, e não uma norma completa nem um plano de testes.

A edição atual é a de 2025, e as referências a 2021 estão desatualizadas. O Controlo de Acessos Quebrado continua no topo, a Configuração de Segurança Incorreta subiu para A02 e há duas categorias novas: A03 Falhas na Cadeia de Fornecimento de Software e A10 Tratamento Indevido de Condições Excecionais.

Não diretamente. Numa avaliação web, serve normalmente para enquadrar e comunicar os achados, associando cada problema a uma categoria de risco, enquanto a profundidade real do teste vem do OWASP Web Security Testing Guide e da verificação face ao ASVS. As APIs e as aplicações móveis têm os seus próprios equivalentes: o OWASP API Security Top 10 e o MASVS/MASTG.

Fale com um profissional a sério.

Tem uma pergunta que estas páginas não responderam? Diga-nos o que está a tentar proteger e indicamos-lhe o projeto adequado. A primeira consulta é gratuita.