Содержание
- Что такое OWASP Top 10 и чем он не является
- Что изменилось с 2021 года
- Десять категорий с пояснениями
- Что находит сканер и что находит только человек
- Самооценка: где находится ваше приложение
- API и мобильные приложения: родственные списки
- OWASP и регуляторные требования
- Как мы тестируем приложение по Top 10
- Частые вопросы
- Источники
За 30 секунд
- Текущее издание — OWASP Top 10:2025, представленное в ноябре 2025 года и окончательно выпущенное в декабре 2025 года 113.
- Основано на данных более чем 2,8 млн приложений и анализе 589 категорий CWE; 8 категорий выбраны по данным, 2 — по опросу сообщества 2.
- Две новые категории: A03 цепочка поставок ПО и A10 обработка исключительных ситуаций; SSRF вошёл в A01 1.
- Top 10 — документ для повышения осведомлённости, «абсолютный минимум»; для проверки OWASP рекомендует ASVS 5.0 34.
- Ошибки бизнес-логики (A06) не может найти сканер — так прямо сказано в руководстве OWASP по тестированию 6.
Что такое OWASP Top 10 и чем он не является
OWASP Top 10 — список важнейших рисков безопасности веб-приложений, публикуемый фондом OWASP. Издание 2025 года, восьмое, было представлено как релиз-кандидат в ноябре 2025 года и окончательно выпущено в декабре 2025 года 113. Рейтинг основан на данных более чем 2,8 млн приложений от 13 организаций и опросе сообщества; проанализировано 589 категорий CWE, из них 248 входят в десять рисков 2.
Чем он не является: стандартом соответствия. OWASP называет его «прежде всего документом для повышения осведомлённости» и «абсолютным минимумом», а для проверки приложения рекомендует ASVS — 345 требований на трёх уровнях в версии 5.0 от мая 2025 года 34. Сама методология тестирования — в руководстве WSTG 5.
Что изменилось с 2021 года
| 2025 | По сравнению с 2021 |
|---|---|
| A01 Контроль доступа | Остаётся первым; SSRF (бывший A10) переходит сюда. Во всех протестированных приложениях была какая-то форма проблемы 11. |
| A02 Ошибки конфигурации | Поднимается с 5-го на 2-е место 1. |
| A03 Цепочка поставок ПО | Новое; расширяет устаревшие компоненты (A06:2021) 1. |
| A04 Криптографические сбои | Опускается со 2-го на 4-е 1. |
| A05 Инъекции | Опускается с 3-го на 5-е; включает XSS 1. |
| A06 Небезопасный дизайн | Опускается с 4-го на 6-е 1. |
| A07 Аутентификация | Остаётся 7-й, с сокращённым названием 1. |
| A08 Целостность | Остаётся 8-й 1. |
| A09 Журналирование и оповещение | Остаётся 9-й; «мониторинг» становится «оповещением» 1. |
| A10 Исключительные ситуации | Новое 1. |
OWASP уже наметил три риска для следующего издания: недостаточная устойчивость приложений, ошибки управления памятью и неуместное доверие к коду, сгенерированному ИИ 12.
Десять категорий с пояснениями
Откройте каждую категорию: что она означает, что проверяет тестировщик вручную и как исправить. Коды WSTG указывают на тесты в руководстве OWASP 15.
A01:2025Нарушение контроля доступаBroken Access Control
- Что это значит
- Пользователь делает то, на что не имеет права: видит чужой заказ, меняет ID в адресе и получает чужие данные, попадает в функции администратора. С 2025 года сюда входит и SSRF.
- Что проверяем вручную
- Тестируем минимум двумя учётными записями и каждой ролью: кто может читать, менять и удалять чьи объекты (WSTG-ATHZ-02, -03, -04).
- Как исправить
- Проверка принадлежности на сервере при каждом запросе; запрет по умолчанию; не доверять ID от клиента.
A02:2025Ошибки конфигурации безопасностиSecurity Misconfiguration
- Что это значит
- Настройки по умолчанию, забытые тестовые аккаунты, подробные сообщения об ошибках, отсутствующие заголовки, открытые облачные сервисы. Поднялась с 5-го на 2-е место.
- Что проверяем вручную
- Сканер находит здесь многое; человек подтверждает, что эксплуатируемо, а что шум, и связывает слабую настройку с остальной атакой.
- Как исправить
- Повторяемая минимальная конфигурация, автоматически проверяемая при каждом выпуске.
A03:2025Сбои цепочки поставок ПОSoftware Supply Chain Failures
- Что это значит
- Новое в 2025: компрометация сборки, доставки или обновления ПО, в том числе через зависимости. Расширяет прежнюю категорию устаревших компонентов; заняла первое место в опросе сообщества.
- Что проверяем вручную
- Проверяем открытые версии, JavaScript-библиотеки на странице, кто может публиковать в конвейер и проверяются ли артефакты.
- Как исправить
- Инвентаризация зависимостей (SBOM), зафиксированные версии, подпись артефактов, минимальные права в конвейере.
A04:2025Криптографические сбоиCryptographic Failures
- Что это значит
- Незашифрованные чувствительные данные, слабые алгоритмы, ключи в коде, предсказуемые случайные числа. Опустилась со 2-го на 4-е место.
- Что проверяем вручную
- Отслеживаем чувствительные данные от формы до базы: передача, хранение, токены и сброс пароля.
- Как исправить
- TLS везде, современные алгоритмы, пароли через специальные функции (Argon2, bcrypt), ключи в хранилище, а не в коде.
A05:2025ИнъекцииInjection
- Что это значит
- Недоверенные данные попадают в интерпретатор: SQL, системные команды, браузер (XSS). У этой категории больше всего CVE.
- Что проверяем вручную
- Вручную подтверждаем слепые инъекции и инъекции второго порядка, а также контексты, которые сканер не проверит (WSTG-INPV-05).
- Как исправить
- Параметризованные запросы, кодирование вывода по контексту, валидация по белым спискам.
A06:2025Небезопасный дизайнInsecure Design
- Что это значит
- Контроль отсутствует на уровне проектирования, включая бизнес-логику: скидка применяется дважды, шаг оплаты пропускается, лимита нет.
- Что проверяем вручную
- Сканер сюда не доходит вовсе — это прямо сказано в WSTG. Мы злоупотребляем потоками: порядком шагов, лимитами, гонками (WSTG-BUSL-01…09).
- Как исправить
- Моделирование угроз при проектировании, лимиты на сервере, тесты на сценарии злоупотребления, а не только на «счастливый путь».
A07:2025Сбои аутентификацииAuthentication Failures
- Что это значит
- Ложная личность принимается за настоящую: угадываемые пароли, бессрочные сессии, уязвимый сброс пароля, обход MFA.
- Что проверяем вручную
- Многошаговые потоки с состоянием, где сканеры слабы: сброс пароля, блокировка, фиксация сессии (WSTG-ATHN-03, -04, -09; WSTG-SESS-03).
- Как исправить
- MFA, ограничение попыток, инвалидация сессий при выходе и смене пароля, одноразовые токены сброса.
A08:2025Нарушение целостности ПО или данныхSoftware or Data Integrity Failures
- Что это значит
- Доверие к коду или данным без проверки: десериализация объектов из запросов, неподписанные обновления, скрипты с чужих доменов.
- Что проверяем вручную
- Ищем небезопасную десериализацию и поля, которые клиент не должен уметь записывать (массовое присваивание).
- Как исправить
- Подпись обновлений, целостность внешних скриптов (SRI), белые списки полей.
A09:2025Сбои журналирования и оповещенияSecurity Logging and Alerting Failures
- Что это значит
- Важные события не записываются или не вызывают оповещений: атака длится месяцами незамеченной. «Мониторинг» стал «оповещением».
- Что проверяем вручную
- Во время теста фиксируем, какие наши действия должны были быть замечены; в конце сравниваем с тем, что увидела ваша команда.
- Как исправить
- Журналы аутентификации, доступа и ошибок с оповещениями, доходящими до человека за часы.
A10:2025Неправильная обработка исключительных ситуацийMishandling of Exceptional Conditions
- Что это значит
- Новое в 2025: необычные ситуации не предотвращаются, не выявляются и не обрабатываются — ошибки, оставляющие транзакцию незавершённой, исключения, открывающие доступ вместо закрытия.
- Что проверяем вручную
- Вызываем ошибки в неудобные моменты и смотрим, какое состояние остаётся (WSTG-ERRH-01).
- Как исправить
- «Fail closed»: при ошибке — отказ и откат всей операции; сообщения без технических подробностей.
Что находит сканер и что находит только человек
Автоматические сканеры хороши в том, что видно по одному запросу: версии, заголовки, классические инъекции. Они слепы ко всему, что требует контекста — кому принадлежит объект, в каком порядке выполняются шаги, что означает скидка. Руководство OWASP прямо говорит, что ошибки бизнес-логики «не могут быть обнаружены сканером уязвимостей» 6.
| Категория | Сканер | Тестировщик |
|---|---|---|
| A01 Доступ (IDOR) | Не знает, кому принадлежит объект | Тестирует двумя учётками на каждой роли 7 |
| A02 Конфигурация | Находит много, с шумом | Подтверждает эксплуатируемое |
| A05 Инъекции | Находит классические случаи | Подтверждает слепые инъекции и второго порядка |
| A06 Бизнес-логика | Не доходит вовсе 6 | Злоупотребляет потоками и лимитами |
| A07 Аутентификация | Слаб на многошаговых потоках | Сброс, блокировка, сессии |
Самооценка: где находится ваше приложение
Насколько готово приложение? 10 вопросов, по одному на категорию
Ответы остаются в браузере. «Не знаю» считается риском: то, что неизвестно, не проверено.
0 из 10 категорий требуют проверки
Начните с них; тест на проникновение приложения проверяет все десять, с доказательствами и шагами по устранению.
Хорошо подготовлено Стоит проверить Высокий риск Запросить тест по всем десяти →API и мобильные приложения: родственные списки
Для API у OWASP есть отдельный список — API Security Top 10:2023. На первом месте BOLA (нарушение авторизации на уровне объектов) — API-аналог IDOR 8. Для мобильных приложений Mobile Top 10 получил финальную версию в 2024 году, с неправильным использованием учётных данных на первом месте 9.
OWASP и регуляторные требования
Стандарты не требуют «OWASP Top 10» по названию, но требуют защиты от тех же классов атак. PCI DSS v4.0.1, требование 6.2.4, требует методов, предотвращающих инъекции и атаки на бизнес-логику и контроль доступа в собственном ПО 10. При аудитах соответствия тест приложения по Top 10 и ASVS — прямое доказательство того, что эти требования работают.
Как мы тестируем приложение по Top 10
- Периметр и учётные записи
По учётной записи на каждую роль плюс две на одной роли — без них A01 не протестировать.
- Картирование приложения
Все функции, API и потоки, включая скрытые интерфейсом.
- Автоматизация как поддержка
Сканер быстро покрывает A02 и классический A05; его находки подтверждаются вручную.
- Ручное тестирование по категориям
Контроль доступа, бизнес-логика, аутентификация и ошибки по тестам WSTG 5.
- Отчёт и повторная проверка
Каждая находка с категорией OWASP, критичностью, доказательством и исправлением; после исправления повторная проверка закрывает её с доказательством.
Частые вопросы
Какое издание OWASP Top 10 актуально?
Какие новые категории в издании 2025 года?
Является ли OWASP Top 10 стандартом соответствия?
Может ли автоматический сканер покрыть весь Top 10?
Чем отличаются Top 10, ASVS и WSTG?
Применим ли Top 10 к API?
Источники
Каждое утверждение о законе или стандарте ссылается на официальный источник. Проверено на указанную дату.
- OWASP Top 10:2025owasp.org · проверено 22 октября 2026 г.
- OWASP Top 10:2025 — введение и методологияowasp.org · проверено 22 октября 2026 г.
- OWASP Top 10:2025 — использование Top 10 как стандартаowasp.org · проверено 22 октября 2026 г.
- OWASP Application Security Verification Standard (ASVS) 5.0owasp.org · проверено 22 октября 2026 г.
- OWASP Web Security Testing Guide (WSTG) v4.2owasp.org · проверено 22 октября 2026 г.
- WSTG — введение в тестирование бизнес-логикиowasp.org · проверено 22 октября 2026 г.
- WSTG-ATHZ-04 — небезопасные прямые ссылки на объекты (IDOR)owasp.org · проверено 22 октября 2026 г.
- OWASP API Security Top 10:2023owasp.org · проверено 22 октября 2026 г.
- OWASP Mobile Top 10 (2024)owasp.org · проверено 22 октября 2026 г.
- PCI Security Standards Council — библиотека документов (PCI DSS v4.0.1)pcisecuritystandards.org · проверено 22 октября 2026 г.
- A01:2025 Broken Access Controlowasp.org · проверено 22 октября 2026 г.
- OWASP Top 10:2025 — следующие шаги (X01–X03)owasp.org · проверено 22 октября 2026 г.
- Репозиторий OWASP Top 10 (история публикации)github.com · проверено 22 октября 2026 г.
Об авторах
Руководства пишет команда, которая проводит тесты, а не отдел маркетинга. Мы обновляем их, когда меняется закон, стандарт или то, что мы видим в тестах.