OWASP Top 10: lo standard di sicurezza web-application

L’Open Web Application Security Project, noto come OWASP, è un progetto internazionale dedicato al miglioramento della sicurezza del software. Si basa su un modello di comunità aperto, in cui chiunque può contribuire, e mette a disposizione gratuitamente strumenti, documentazione ed eventi. Tra tutte le sue pubblicazioni, la più conosciuta e adottata è la OWASP Top 10: la lista dei dieci rischi di sicurezza più critici per le applicazioni web, diventata negli anni lo standard di riferimento a livello mondiale.

1. Cos’è OWASP
2. Perché la OWASP Top 10 è così importante
3. Le 10 categorie della OWASP Top 10:2025
4. Dalla lista alla verifica concreta

Cos’è OWASP

OWASP è un progetto open source nel campo della sicurezza delle applicazioni web, nato nel 2001. Fin dalla sua creazione ha avuto un obiettivo preciso: supportare sviluppatori, tecnici e software house nella creazione di applicativi più sicuri, fornendo linee guida, best practice e pubblicazioni riconosciute a livello internazionale.

Le indicazioni della fondazione OWASP non sono obbligatorie per legge, ma sono diventate un riferimento di fatto per chiunque progetti o gestisca software web: gare d’appalto, capitolati e audit di sicurezza vi fanno riferimento costantemente. La sua pubblicazione più nota è il progetto Top 10, nato nel 2003 per sensibilizzare sviluppatori e progettisti sulle minacce che espongono le applicazioni web agli attacchi.

Perché la OWASP Top 10 è così importante

Lo scopo della OWASP Top 10 è fornire a esperti e sviluppatori una lista dei rischi di sicurezza più comuni, così che possano tenerne conto già in fase di progettazione e scrittura del codice. Conoscere in anticipo dove si concentrano le vulnerabilità più frequenti aiuta a limitarne la presenza nelle proprie applicazioni e a prevenire i attacchi alle applicazioni web.

La lista viene rivista periodicamente per riflettere l’evoluzione delle minacce. Dopo le edizioni del 2003, 2004, 2007, 2010, 2013, 2017 e 2021, l’ultima revisione è la OWASP Top 10:2025, annunciata a fine 2025 e rilasciata nella versione definitiva all’inizio del 2026. È il primo aggiornamento dopo quattro anni, e introduce un cambiamento di prospettiva significativo: il focus si sposta dai singoli errori di codice verso i problemi sistemici, cioè il modo in cui le applicazioni vengono costruite, configurate e mantenute nel tempo, incluse le dipendenze da componenti di terze parti.

Le 10 categorie della OWASP Top 10:2025

Ecco i dieci rischi identificati nell’edizione 2025, ciascuno con il proprio significato.

A01 – Broken Access Control

Resta al primo posto, ed è la categoria che gli analisti riscontrano più spesso. Si verifica quando un utente può accedere a dati o funzioni che non gli competono: vedere le informazioni di un altro account, raggiungere un’area amministrativa senza esserne autorizzato. È una delle vulnerabilità di sistema più critiche, e nell’edizione 2025 questa categoria assorbe anche il Server-Side Request Forgery, prima voce a sé.

A02 – Security Misconfiguration

Sale di posizione e raccoglie tutti i problemi derivanti da configurazioni errate o lasciate ai valori di default: porte aperte non necessarie, account con credenziali predefinite, messaggi d’errore che rivelano informazioni sull’applicazione. È una delle cause di violazione più diffuse, e spesso la più facile da evitare con un’adeguata gestione delle patch.

A03 – Software Supply Chain Failures

Una delle due nuove categorie del 2025, che amplia ed eleva il precedente concetto di componenti vulnerabili. Riguarda i rischi che entrano nell’applicazione attraverso le dipendenze esterne: librerie, framework, plugin e moduli di terze parti che, se compromessi o non aggiornati, diventano la porta d’ingresso verso l’intero sistema.

A04 – Cryptographic Failures

Riguarda la gestione errata della crittografia, dai dati trasmessi in chiaro agli algoritmi obsoleti. Quando i dati sensibili non sono protetti adeguatamente in transito o a riposo, un attaccante può intercettarli: per questo l’uso corretto di protocolli come TLS su tutte le pagine è una contromisura fondamentale.

A05 – Injection

Una delle categorie storiche, che include la SQL injection, la OS command injection e il cross-site scripting. Si verifica quando un input non controllato viene interpretato ed eseguito dall’applicazione come codice iniettato legittimo, consentendo all’attaccante di manipolarne il comportamento.

A06 – Insecure Design

Raccoglie i difetti che nascono a monte, nella progettazione dell’applicazione, prima ancora della scrittura del codice. Un’applicazione progettata senza considerare la sicurezza fin dall’inizio porta con sé debolezze strutturali che nessuna correzione successiva risolve del tutto.

A07 – Authentication Failures

Già nota come Broken Authentication, riguarda i processi di autenticazione che non verificano correttamente l’identità dell’utente. Apre la porta ad attacchi come il credential stuffing, in cui un aggressore riesce ad assumere l’identità di un altro utente sfruttando credenziali deboli o riutilizzate.

A08 – Software and Data Integrity Failures

Si riferisce alle falle che non proteggono dall’alterazione di software e dati. Le situazioni più frequenti riguardano l’uso di plugin, librerie e moduli provenienti da fonti non attendibili, o l’assenza di verifiche sull’integrità degli aggiornamenti.

A09 – Security Logging and Monitoring Failures

Riguarda la mancanza di registrazione e monitoraggio adeguati degli eventi di sicurezza. Senza log completi e senza un sistema che li analizzi, un attacco può passare inosservato a lungo, e dopo un incidente diventa difficile ricostruire cosa è successo e fin dove è arrivato l’attaccante.

A10 – Mishandling of Exceptional Conditions

La seconda nuova categoria del 2025. Riguarda la gestione errata delle condizioni anomale e degli errori: quando un’applicazione non sa rispondere correttamente a situazioni impreviste, può rivelare informazioni sensibili, comportarsi in modo non sicuro o aprire varchi che in condizioni normali resterebbero chiusi.

Dalla lista alla verifica concreta

Conoscere la OWASP Top 10 è il primo passo, ma è solo metà del percorso. Sapere che esiste il Broken Access Control non dice se la vostra applicazione ne è affetta: quella è una risposta che si ottiene soltanto verificando l’applicazione nello specifico. Ed è una distinzione che vale denaro, perché molte di queste categorie — quelle legate alla logica e ai controlli di accesso — non vengono rilevate da una semplice scansione automatica, ma solo da un’analisi che le mette attivamente alla prova.

Per questo la lista OWASP è il punto di partenza di servizi come il Web Vulnerability Assessment e il Web Application Penetration Testing, che verificano l’esposizione reale di un’applicazione rispetto a queste categorie. Conoscere i rischi serve proprio a sapere cosa cercare quando si mette davvero alla prova la sicurezza di una web app.

La OWASP Top 10 indica i rischi; sapere se la vostra applicazione ne è esposta richiede una verifica concreta. Cyberment affianca le aziende italiane con il Web Application Penetration Testing e il Web Vulnerability Assessment, che misurano la vostra web app rispetto alle categorie OWASP e restituiscono un report con priorità d’intervento e contromisure. Contattaci ora per verificare la sicurezza della tua applicazione.