O OWASP Top 10 é o padrão mais reconhecido mundialmente para riscos de segurança em aplicações web. Seja você desenvolvedor, engenheiro de segurança ou líder empresarial — este guia explica cada categoria com exemplos reais, técnicas de detecção e estratégias de remediação.
Um documento de conscientização atualizado periodicamente que classifica os riscos de segurança mais críticos para aplicações web. Baseado em análise de dados de centenas de organizações, pesquisas com a comunidade e dados reais de violações. Referenciado por PCI DSS, DORA, NIS2 e muitos padrões da indústria.
Vulnerabilidade #1 mais comum — encontrada em 94% das aplicações testadas.
/api/users/123/profile para /api/users/124/profile/admin/dashboardAnteriormente "Exposição de Dados Sensíveis" — renomeado para focar na causa raiz.
Forçar HTTPS em todos os lugares com HSTS. Usar AES-256, bcrypt/Argon2, SHA-256+. Nunca hardcodear segredos — usar Vault ou AWS Secrets Manager. Criptografar dados em repouso. Desabilitar TLS 1.0/1.1.
A vulnerabilidade web clássica — ainda no top 3 após duas décadas.
' OR 1=1 -- e ataques muito mais sofisticadosConsultas parametrizadas para todas as interações com BD. Validação de entrada com listas permitidas. Codificação de saída para contexto. Cabeçalhos de Content Security Policy. Contas de BD com privilégios mínimos. Usar ORMs consistentemente.
Nova categoria — falhas em nível de design, não bugs de implementação.
Correção: Integrar modelagem de ameaças (STRIDE, PASTA) na fase de design. Usar padrões de design seguro. Escrever casos de abuso junto com casos de uso.
Encontrada em 90% das aplicações testadas.
Processo de hardening repetível. Remover todos os recursos desnecessários. Implementar todos os cabeçalhos de segurança. Automatizar gerenciamento de configuração com IaC. Auditorias regulares de configuração. Usar CSPM para nuvem.
Correção: Manter inventário de componentes (SBOM). Monitorar continuamente bancos de dados CVE. Remover dependências não utilizadas. Automatizar atualizações com Dependabot/Renovate.
Implementar MFA. Forçar senhas fortes com verificação em banco de dados de violações. Limitação de taxa em endpoints de autenticação. Gerenciamento seguro de sessão (IDs aleatórios, flags HTTPOnly/Secure). Invalidar sessões no logout/mudança de senha.
Correção: Assinaturas digitais em todo software/dados. Subresource Integrity (SRI) para recursos externos. CI/CD seguro com controles de acesso e assinatura. Evitar desserialização insegura — usar JSON.
Tempo médio para identificar uma violação: 204 dias (IBM 2024). Sem logging adequado, invasores podem estabelecer persistência, exfiltrar dados e expandir sua presença — tudo sem disparar alarmes.
Correção: Registrar todos os eventos de autenticação, falhas de controle de acesso e falhas de validação de entrada. Incluir contexto (timestamp, usuário, IP, ação). Centralizar logs em SIEM resistente a adulteração. Implementar alertas automatizados. Testar capacidades de detecção regularmente.
Nova categoria — adicionada devido ao aumento da prevalência em arquiteturas nativas da nuvem.
http://169.254.169.254/ para credenciais IAMValidar todas as URLs fornecidas pelo usuário no lado do servidor. Usar listas permitidas para domínios permitidos. Bloquear faixas de IP privadas (10.x, 172.16.x, 169.254.x, 127.x). Desabilitar esquemas de URL desnecessários (file://, gopher://). Usar IMDSv2 na AWS. Segmentar serviços de busca de URL.
| Categoria OWASP | Cobertura KENSAI |
|---|---|
| A01 Controle de Acesso Quebrado | Testes IDOR, bypass de autorização, verificações CORS |
| A02 Falhas Criptográficas | Análise TLS, verificação de cabeçalhos, verificação de criptografia |
| A03 Injeção | SQL, XSS, injeção de comando, SSTI, injeção de cabeçalho |
| A04 Design Inseguro | Limitação de taxa, recursos previsíveis, testes de lógica |
| A05 Má Configuração de Segurança | Cabeçalhos, padrões, divulgação de informações, métodos HTTP |
| A06 Componentes Vulneráveis | Fingerprinting de tecnologia, banco de dados 332K+ CVEs |
| A07 Falhas de Autenticação | Credenciais padrão, testes de sessão, análise de cookies |
| A08 Falhas de Integridade | Verificações SRI, testes de desserialização |
| A09 Falhas de Logging | Análise de cabeçalhos de segurança, revisão de tratamento de erros |
| A10 SSRF | Injeção de endpoint interno, testes de metadados de nuvem |
Verificação gratuita — sem compromisso, sem cartão de crédito necessário. DAST com IA e relatórios prontos para conformidade.
Iniciar Verificação Gratuita →Controle de Acesso Quebrado (A01) — encontrada em 94% das aplicações testadas. Subiu da posição 5 para a posição 1, refletindo falha generalizada em aplicar autorização, particularmente em APIs e SPAs.
O OWASP Top 10 em si é voluntário. No entanto, é referenciado pelo PCI DSS (requer abordar o OWASP Top 10), NIS2 (espera gerenciamento sistemático de vulnerabilidades), DORA (referencia testes padrão da indústria) e muitas avaliações de fornecedores. Na prática, é efetivamente obrigatório.
Ferramentas DAST automatizadas detectam efetivamente a maioria das categorias — especialmente injeção (A03), falhas criptográficas (A02), má configuração (A05) e componentes vulneráveis (A06). Algumas categorias como Design Inseguro (A04) e Falhas de Logging (A09) frequentemente requerem avaliação manual. Use verificação automatizada para amplitude + testes manuais para profundidade.
A cada 3-4 anos. Lançamentos principais: 2013, 2017, 2021. Cada atualização reflete mudanças no cenário de ameaças — a atualização de 2021 introduziu Design Inseguro (A04) e SSRF (A10) enquanto reorganizava outros.
Segurança não é opcional.
🗡️ Equipe KENSAI
Get a free security scan of your website in 60 seconds
Free Security Scan →