OWASP Top 10:2025 ve savunma karşılıkları

Listenin başı. Yetki kontrolü eksikliğinden doğar; 2025'te sunucu tarafı istek sahteciliği (SSRF) de bu başlığa katıldı.

Açıkça izin verilmeyen her erişimi reddet.

Yetkilendirmeyi istemci değil, her istekte sunucu doğrulasın.

Nesne kimliğine değil oturum sahipliğine göre erişim ver.

Sunucunun dışarıya yaptığı istekleri bilinen adreslerle sınırla; iç ağı ve bulut üst veri adresini (169.254.169.254) engelle.

Zayıf kimlik doğrulama ve oturum yönetiminden doğar.

Parolaya ek ikinci bir doğrulama faktörü zorunlu tut.

Jetonları kısa ömürlü tut, çıkışta anında geçersiz kıl.

Başarısız giriş denemesine hız sınırı ve geçici kilitleme uygula.

Güvensiz varsayılan ayar ya da gereksiz açık servisten doğar; 2025'te ikinci sıraya çıktı.

Sunucu ve uygulamayı bilinen bir sertleştirme standardına göre yapılandır.

Kurulumla gelen varsayılan kullanıcı ve parolaları değiştir ya da kapat.

Üretimde ayrıntılı hata izini kullanıcıya gösterme.

Bağımlılık, derleme sistemi ve dağıtım altyapısındaki zayıflıktan doğar. 2021'deki eski bileşen kategorisinin (A06) genişlemiş hali.

Kullanılan bütün bağımlılıkların envanterini güncel tut.

Derleme hattında bilinen zafiyet taraması çalıştır.

Bağımlılıkları kilit dosyasıyla sabitle, yeni paketi eklemeden önce kaynağını ve yayıncısını doğrula.

Hassas verinin taşınırken ya da saklanırken yeterince korunmamasından doğar.

Bütün dış trafiği güncel TLS sürümüyle şifrele.

Kırılmış ya da zayıf özet ve şifreleme algoritmalarını kullanma.

Şifreleme anahtarlarını koda gömme; merkezi bir kasada ya da anahtar yönetim servisinde tut.

Bütünlüğü doğrulanmamış güncelleme, eklenti ya da seri hale getirilmiş veriye güvenmekten doğar.

Yayınlanan yapı çıktısını imzala, dağıtımda imzayı doğrula.

Derleme hattına yazma erişimini kısıtla, her yapı adımını kayda al.

Doğrulanmamış girdinin sorgu ya da komut olarak yorumlanmasından doğar.

Girdiyi sorguya metin birleştirmeyle ekleme, parametre olarak geçir.

Girdiyi bilinen ve beklenen biçimle karşılaştırarak kabul et.

Güvenliğin sonradan eklendiği, baştan tasarlanmadığı durumdan doğar.

Tasarım aşamasında olası kötüye kullanım senaryolarını çıkar.

Saldırının kayda düşmemesinden ya da kayda düşse de uyarı üretmemesinden doğar.

Kimlik doğrulama ve yetki olaylarını merkezi bir sisteme topla.

Şüpheli örüntüler için otomatik uyarı eşiği tanımla.

Günlükleri olay müdahalesine yetecek süre boyunca sakla.

Bütün sistemleri NTP ile aynı saate hizala; zaman çizelgesi çıkarmak kolaylaşır.

Günlükleri sonradan değiştirilmesi zor olacak biçimde ayrı ve salt eklemeli tut.

2025'te yeni. Uygulama hata ya da beklenmeyen durumda güvensiz davranınca doğar.

Yetki ya da doğrulama adımı hata verirse isteği reddet, geçirme (fail closed).

Yakalanmayan istisnayı tek yerde yakala; kullanıcıya genel mesaj ver, ayrıntıyı günlüğe yaz.

Ayrı kategori (A10:2021) olmaktan çıktı, A01 Broken Access Control'e katıldı.

A06:2021 Vulnerable and Outdated Components genişleyip A03 Software Supply Chain Failures oldu.

A10 Mishandling of Exceptional Conditions.

A07 Authentication Failures (eski: Identification and Authentication Failures), A09 Security Logging and Alerting Failures (eski: Security Logging and Monitoring Failures).