OWASP (Open Worldwide Application Security Project) adalah organisasi nirlaba global yang menghasilkan panduan, standar, dan perangkat gratis untuk membangun perangkat lunak yang lebih aman, dan OWASP Top 10 adalah dokumennya yang paling dikenal. Daftar ini merangkum sepuluh kategori risiko keamanan aplikasi web yang paling kritis dan menjadi bahasa bersama antara developer, penguji keamanan, dan auditor. Artikel ini menjelaskan apa itu OWASP, isi OWASP Top 10 edisi 2025, dan cara memakainya dalam pekerjaan sehari-hari.
Apa Itu OWASP?
Menurut halaman profil OWASP, organisasi ini adalah yayasan nirlaba 501(c)(3) yang bekerja meningkatkan keamanan perangkat lunak. Proyeknya dimulai pada 1 Desember 2001 dan didirikan sebagai OWASP Foundation, Inc. pada 2004. Misinya adalah menjadi komunitas terbuka global yang memberdayakan perangkat lunak aman lewat pendidikan, perangkat, dan kolaborasi. OWASP menaungi lebih dari 275 proyek sumber terbuka yang dikerjakan komunitas, dan seluruh materinya dapat diakses gratis.
Beberapa proyek OWASP yang sering dipakai praktisi:
- OWASP Top 10: daftar risiko aplikasi web yang paling kritis, sebagai bahan awareness dan acuan prioritas.
- Cheat Sheet Series: panduan ringkas pencegahan, misalnya untuk SQL injection, XSS, dan CSRF.
- Application Security Verification Standard (ASVS): kerangka persyaratan keamanan untuk membangun dan menguji aplikasi web. Versi terbaru yang tercantum di situsnya adalah 5.0.0, terbit 30 Mei 2025.
- ZAP (Zed Attack Proxy): pemindai keamanan aplikasi web gratis dan sumber terbuka yang dikelola komunitas.
OWASP Top 10 Edisi 2025
Daftar terbaru memuat sepuluh kategori berikut, sebagaimana dipublikasikan di situs resmi OWASP Top 10:
- A01:2025 Broken Access Control
- A02:2025 Security Misconfiguration
- A03:2025 Software Supply Chain Failures
- A04:2025 Cryptographic Failures
- A05:2025 Injection
- A06:2025 Insecure Design
- A07:2025 Authentication Failures
- A08:2025 Software or Data Integrity Failures
- A09:2025 Security Logging and Alerting Failures
- A10:2025 Mishandling of Exceptional Conditions
Apa Arti Setiap Kategori dan Apa yang Berubah?
Akses dan konfigurasi
Broken Access Control tetap di peringkat pertama. OWASP menyebut seluruh aplikasi yang diuji memiliki bentuk kelemahan kontrol akses tertentu, misalnya pengguna dapat melihat data orang lain atau membuka fungsi admin tanpa otorisasi. Security Misconfiguration naik dari peringkat kelima ke kedua, dan OWASP melaporkan seluruh aplikasi yang diuji mengandung bentuk salah konfigurasi tertentu, seperti fitur tidak perlu yang aktif, kredensial bawaan, atau pesan error yang membocorkan jejak tumpukan. Topik ini dibahas lebih lanjut di artikel security misconfiguration.
Rantai pasok perangkat lunak
Software Supply Chain Failures mencakup kegagalan atau kompromi dalam proses membangun, mendistribusikan, dan memperbarui perangkat lunak, termasuk lewat dependensi pihak ketiga yang rentan atau berbahaya. OWASP menelusuri akarnya ke kategori komponen rentan pada daftar-daftar lama, dengan cakupan yang kini diperluas ke semua kegagalan rantai pasok. Pencegahannya antara lain memelihara Software Bill of Materials, memantau komponen terhadap sumber seperti CVE, NVD, dan OSV, serta mengamankan pipeline CI/CD.
Injection
Injection turun dari peringkat ketiga ke kelima, tetapi tetap menjadi kategori dengan jumlah CVE terbanyak: sekitar 62 ribu CVE dan 37 CWE terpetakan, termasuk lebih dari 30 ribu untuk XSS dan lebih dari 14 ribu untuk SQL injection. Penjelasan praktisnya ada di pembahasan SQL injection dan pembahasan XSS.
Kategori lain
- Cryptographic Failures dan Insecure Design: kelemahan penggunaan kriptografi dan keputusan desain yang tidak memperhitungkan ancaman.
- Authentication Failures: kelemahan pada proses login dan pengelolaan sesi.
- Software or Data Integrity Failures: kode atau data yang dipercaya tanpa verifikasi integritas.
- Security Logging and Alerting Failures: log dan peringatan yang tidak memadai sehingga serangan terlambat terdeteksi.
- Mishandling of Exceptional Conditions: kategori baru pada 2025 yang memuat 24 CWE terkait penanganan error yang buruk, kesalahan logika, dan sistem yang gagal terbuka (fail open) saat menghadapi kondisi tak terduga.
Cara Memanfaatkan OWASP Top 10
Top 10 adalah dokumen awareness, bukan daftar periksa lengkap. Beberapa cara memakainya secara efektif:
- Sebagai kerangka pelatihan developer. Jadikan sepuluh kategori itu materi wajib bagi tim pengembang baru.
- Sebagai acuan cakupan pengujian. Penetration tester memakainya untuk memastikan pengujian menyentuh kategori yang paling berisiko, dan laporan temuan sering dipetakan ke kategori OWASP.
- Sebagai dasar prioritas perbaikan. Bandingkan temuan hasil vulnerability assessment dengan daftar ini untuk menentukan apa yang diperbaiki lebih dulu.
- Sebagai pintu masuk ke standar yang lebih rinci. Setelah memahami Top 10, lanjutkan ke ASVS untuk persyaratan yang dapat diuji dan Cheat Sheet Series untuk cara memperbaikinya.
Pengujian berdasarkan daftar ini hanya boleh dilakukan pada sistem milik sendiri atau dengan izin tertulis pemiliknya. Akses ilegal ke sistem elektronik dapat dijerat Pasal 332 KUHP.
Baca juga: Pengertian Remote Code Execution (RCE) dan Cara Mencegahnya.
Pertanyaan yang Sering Diajukan
Apakah OWASP Top 10 adalah standar wajib?
Bukan regulasi. Ia adalah dokumen awareness yang banyak dijadikan acuan. Sebagian kerangka kepatuhan dan kontrak merujuk padanya, tetapi kewajibannya bergantung pada kebijakan masing-masing organisasi.
Seberapa sering OWASP Top 10 diperbarui?
Daftar diterbitkan berkala, dan edisi terbaru yang saat ini tersedia di situs resminya adalah edisi 2025. Selalu periksa situs resmi untuk versi terkini.
Apakah OWASP hanya untuk aplikasi web?
Top 10 klasik berfokus pada aplikasi web, tetapi OWASP juga memiliki proyek lain, misalnya untuk API dan untuk aplikasi seluler. Hal-hal seperti keamanan API sebaiknya dibaca bersama Top 10.
Bagaimana pemula bisa mulai belajar OWASP?
Mulai dari membaca halaman Top 10 satu per satu, lalu pelajari Cheat Sheet pencegahannya dan berlatih di lingkungan lab yang sah.
Kesimpulan
OWASP menyediakan bahan belajar yang bebas diakses dan Top 10 2025 menunjukkan arah risiko terkini: kontrol akses dan konfigurasi tetap teratas, rantai pasok perangkat lunak kini menjadi kategori tersendiri, dan penanganan kondisi tak terduga resmi masuk daftar. Gunakan daftar ini sebagai peta, lalu perdalam masing-masing kategori. Jika Anda ingin belajar keamanan aplikasi web dengan bimbingan, lihat kursus Linuxhackingid.
Every article is reviewed by the practice lead who ran the work before it is published.