O OWASP Top 10 é a lista, mantida pela comunidade aberta OWASP, das categorias de risco mais críticas em aplicações web. A edição 2025 substitui a de 2021 e serve ao gestor como vocabulário comum para exigir, em contrato e em testes, que o fornecedor trate esses riscos.
O OWASP Top 10 é uma lista das dez categorias de risco mais críticas em aplicações web, publicada pela OWASP, uma comunidade aberta dedicada à segurança de software. A edição mais recente é a de 2025, oitava da série, que substitui a de 2021. Para quem contrata software, ela funciona como um vocabulário comum: permite pedir ao fornecedor, em contrato e em testes, que cada categoria seja tratada e comprovada.
O gestor não precisa saber explorar uma falha. Precisa saber que perguntas fazer, que evidências pedir e como a lista entra na contratação e no aceite de entregas.
O que é a OWASP e por que a lista importa?
A OWASP é uma comunidade aberta que publica guias, padrões e ferramentas gratuitas de segurança de aplicações. O Top 10 é o seu documento mais conhecido e é revisado periodicamente com base em dados de mercado.
A lista importa por três motivos práticos:
- É baseada em dados. Segundo a introdução da edição 2025, oito das dez categorias vieram de dados enviados por organizações, cobrindo mais de 2,8 milhões de aplicações. As outras duas vieram de uma pesquisa com profissionais da área.
- É um idioma comum. Desenvolvedores, testadores, auditores e compradores usam os mesmos nomes de categoria, o que reduz ambiguidade em propostas e relatórios.
- É uma referência mínima, não um teto. A lista mostra onde os problemas são mais frequentes e graves. Cobrir o Top 10 não significa que a aplicação está segura em tudo.
Quais são as dez categorias da edição 2025?
A tabela resume cada categoria em linguagem de negócio. Os nomes oficiais estão em inglês, como publicados pela OWASP.
| Código | Categoria oficial | O que significa para o negócio |
|---|---|---|
| A01:2025 | Broken Access Control | Usuários conseguem ver ou alterar o que não deveriam, como dados de outro cliente |
| A02:2025 | Security Misconfiguration | Servidores, nuvem ou frameworks configurados de forma insegura |
| A03:2025 | Software Supply Chain Failures | Riscos vindos de bibliotecas, ferramentas de build e canais de distribuição de terceiros |
| A04:2025 | Cryptographic Failures | Dados sensíveis sem criptografia adequada, em trânsito ou armazenados |
| A05:2025 | Injection | Entradas do usuário interpretadas como comandos pelo sistema |
| A06:2025 | Insecure Design | Falhas de concepção, que nenhuma correção de código resolve sozinha |
| A07:2025 | Authentication Failures | Login, senha e sessão frágeis, que permitem tomar contas |
| A08:2025 | Software or Data Integrity Failures | Atualizações, dados ou componentes aceitos sem verificar a origem |
| A09:2025 | Security Logging and Alerting Failures | Ataques que acontecem sem deixar registro nem gerar alerta |
| A10:2025 | Mishandling of Exceptional Conditions | Erros e situações inesperadas tratados de forma que abre brechas |
O que mudou da edição 2021 para a 2025?
Quem tem contratos, políticas ou relatórios que citam a edição 2021 deve saber o que mudou. De acordo com a introdução publicada pela OWASP:
- Cadeia de suprimentos ganhou destaque. A categoria de componentes vulneráveis e desatualizados (A06:2021) foi ampliada para "Software Supply Chain Failures" (A03:2025), cobrindo dependências, sistemas de build e infraestrutura de distribuição.
- Categoria nova. "Mishandling of Exceptional Conditions" (A10:2025) entrou na lista.
- SSRF foi absorvido. A falsificação de requisição do lado do servidor, que era a A10:2021, passou a fazer parte do controle de acesso (A01:2025).
- Configuração insegura subiu. Passou da quinta para a segunda posição.
- Nomes ajustados. A07 virou "Authentication Failures" e A09 trocou "Monitoring" por "Alerting".
Na prática, um contrato que exige "conformidade com o OWASP Top 10" sem dizer a edição fica ambíguo. Especifique a edição de referência e prefira a mais recente.
Como usar o Top 10 na contratação de software?
O Top 10 rende mais quando aparece em três momentos: na proposta, no contrato e no aceite.
Na proposta, peça ao fornecedor que explique como trata cada categoria. Respostas genéricas como "seguimos boas práticas" não ajudam. Respostas úteis citam controles concretos: revisão de permissões por perfil, inventário de dependências, configuração padronizada de ambientes, registro de eventos de segurança.
No contrato, inclua cláusulas objetivas:
- A edição do OWASP Top 10 que serve de referência mínima.
- A obrigação de corrigir falhas de severidade alta e crítica antes do aceite.
- O direito de o contratante fazer ou contratar testes de segurança independentes.
- A obrigação de manter inventário de componentes de terceiros e atualizá-los.
- Prazos de correção para vulnerabilidades encontradas depois da entrega.
No aceite, exija evidências: relatório de teste de segurança, lista de dependências com versões, e a confirmação de que falhas encontradas foram corrigidas e retestadas. Um pentest costuma usar o Top 10 como uma das referências de cobertura.
Que perguntas fazer ao fornecedor sobre cada categoria?
Não é preciso dominar a parte técnica para fazer boas perguntas. Algumas que funcionam bem em reuniões de avaliação:
- Controle de acesso: como o sistema impede que um usuário acesse dados de outro? Isso é testado automaticamente?
- Configuração: existe um padrão de configuração para servidores e nuvem? Quem revisa?
- Cadeia de suprimentos: como vocês escolhem, inventariam e atualizam bibliotecas de terceiros?
- Criptografia: que dados ficam criptografados no banco e nos backups?
- Autenticação: o sistema oferece autenticação multifator? Como trata tentativas repetidas de login?
- Registro e alerta: que eventos de segurança ficam registrados? Quem recebe os alertas e em quanto tempo?
- Design: a segurança é discutida na fase de especificação ou só no fim?
Se o fornecedor tem dificuldade em responder, é um sinal de que a segurança não faz parte do processo. Práticas de DevSecOps costumam aparecer nas respostas de quem leva o tema a sério.
Que erros os gestores cometem com o OWASP Top 10?
Os mais comuns são:
- Tratar a lista como certificação. O Top 10 é uma referência de riscos, não um selo. Desconfie de quem oferece um "certificado OWASP Top 10" como se fosse emitido pela própria OWASP.
- Achar que uma varredura automática cobre tudo. Ferramentas encontram parte dos problemas. Falhas de design e de controle de acesso exigem análise humana.
- Ignorar a cadeia de suprimentos. Boa parte do código de um sistema moderno vem de bibliotecas de terceiros. A edição 2025 deixa isso explícito.
- Esquecer o registro de eventos. Sem registros e alertas, um ataque pode passar despercebido. Isso também pesa na resposta a incidentes, já que a comunicação de incidente à ANPD tem prazo contado a partir do conhecimento do fato (veja comunicação de incidente à ANPD).
- Não definir a edição no contrato. A referência fica ambígua quando a lista muda.
Como a lista se relaciona com a LGPD?
A Lei 13.709/2018 (LGPD) obriga os agentes de tratamento a adotar medidas de segurança, técnicas e administrativas, para proteger dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas (art. 46). A lei não cita o OWASP. Mas várias categorias do Top 10, como controle de acesso, criptografia e autenticação, tratam exatamente dos riscos que levam a vazamentos. Exigir o Top 10 do fornecedor é uma forma concreta de demonstrar cuidado na escolha e no acompanhamento de quem desenvolve o sistema.
Próximo passo
Se você vai contratar desenvolvimento ou um teste de segurança de aplicação, compare as empresas de cibersegurança e as software houses nos rankings, calculados por critérios públicos descritos na metodologia. Se a sua empresa faz testes de aplicação ou desenvolvimento seguro, crie ou reivindique o perfil gratuito e mostre como trabalha.
Fontes
- OWASP — OWASP Top 10:2025 — lista oficial das dez categorias da edição 2025
- OWASP — Introdução ao Top 10:2025 — oitava edição, mudanças em relação a 2021, base de dados com mais de 2,8 milhões de aplicações e pesquisa com a comunidade
- Qualys — What Changed in OWASP Top 10 2025 — confirmação de que a edição 2025 é a oitava e está publicada
- Planalto — Lei nº 13.709/2018 (LGPD) — dever de adotar medidas de segurança (art. 46)
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
O OWASP Top 10 é uma norma obrigatória?
Não. É um documento de referência e conscientização publicado por uma comunidade aberta, sem força de lei. Ele passa a ser exigível quando é incluído em contrato, política interna ou edital. Por isso vale citar a edição de referência no documento de contratação.
Qual edição devo usar em 2026?
A edição mais recente publicada pela OWASP é a de 2025. Contratos e políticas antigos que citam a de 2021 continuam válidos para o que já foi contratado, mas novas contratações devem referenciar a edição 2025.
O Top 10 vale para aplicativos móveis e APIs?
A lista principal trata de aplicações web, e muitos riscos se aplicam também a APIs e aplicativos. A OWASP mantém projetos específicos para outras superfícies. Ao contratar um app ou uma API, pergunte ao fornecedor quais referências ele usa além do Top 10.
Cobrir o Top 10 garante que o sistema está seguro?
Não. A lista cobre as categorias de risco mais críticas e frequentes, não todas. Segurança depende também de processo, monitoramento, gestão de acessos, atualização contínua e testes periódicos.
Quem deve verificar se o fornecedor cumpriu o Top 10?
O ideal é uma verificação independente, por equipe interna de segurança ou por empresa contratada para testes. Pedir apenas uma autodeclaração do fornecedor é pouco. Exija relatório de teste e evidência de reteste das correções.