OWASP Top 10 Dijelaskan Sederhana untuk Pemilik Website dan Aplikasi

OWASP (Open Worldwide Application Security Project) adalah komunitas nirlaba yang menerbitkan daftar sepuluh risiko keamanan aplikasi web yang paling umum dan berdampak. Daftar ini menjadi acuan standar pengujian keamanan di seluruh dunia. Anda tidak perlu memahami detail teknisnya, tetapi mengenal kategorinya membantu Anda menilai kualitas pengembang dan hasil pentest.

1. Kontrol akses yang rusak (Broken Access Control)

Pengguna bisa mengakses data atau fungsi yang bukan haknya, misalnya melihat pesanan orang lain dengan mengganti nomor di alamat halaman. Ini kategori yang paling sering kami temukan di aplikasi bisnis.

2. Kegagalan kriptografi

Data sensitif seperti kata sandi atau nomor identitas disimpan atau dikirim tanpa perlindungan yang memadai. Kata sandi harus disimpan dalam bentuk hash yang kuat, dan seluruh komunikasi wajib lewat HTTPS.

3. Injeksi (Injection)

Masukan pengguna diperlakukan sebagai perintah oleh sistem. Contoh klasiknya SQL injection: mengetik teks tertentu di kolom pencarian dan mendapatkan seluruh isi database. Pencegahannya adalah pemisahan data dan perintah lewat parameterized query.

4. Desain yang tidak aman

Kelemahan yang berasal dari rancangan alur, bukan dari kesalahan penulisan kode. Misalnya proses pemulihan kata sandi yang bisa ditebak, atau kupon yang bisa dipakai tanpa batas.

5. Kesalahan konfigurasi keamanan

Panel admin dengan kata sandi bawaan, pesan galat yang membocorkan detail internal, direktori yang bisa dilihat isinya, atau fitur debug yang masih aktif di server produksi.

6. Komponen yang rentan dan usang

Pustaka, plugin, atau framework versi lama dengan celah yang sudah diketahui publik. Ini alasan mengapa pemeliharaan rutin penting; baca mengapa maintenance website penting.

7. Kegagalan identifikasi dan autentikasi

Login tanpa pembatasan percobaan, sesi yang tidak kedaluwarsa, atau kata sandi lemah yang diizinkan.

8. Kegagalan integritas perangkat lunak dan data

Pembaruan atau pustaka yang diambil dari sumber yang tidak diverifikasi, sehingga kode berbahaya bisa masuk ke aplikasi Anda.

9. Kegagalan pencatatan dan pemantauan

Tanpa log yang memadai, serangan berlangsung berbulan-bulan tanpa disadari. Sistem yang baik mencatat kejadian penting dan memberi peringatan.

10. Server-Side Request Forgery (SSRF)

Aplikasi dipaksa mengakses alamat internal yang seharusnya tidak dapat dijangkau dari luar, misalnya untuk membaca konfigurasi server.

Yang bisa Anda lakukan

Tanyakan kepada pengembang bagaimana mereka menangani sepuluh kategori ini, dan minta pengujian keamanan sebelum rilis. Di Watchwatch Digital, setiap proyek diuji terhadap OWASP Top 10 sebagai standar; lihat layanan keamanan siber dan artikel penetration testing.