OWASP Top 10 for SMV’er: en praktisk tjekliste for websikkerhed

OWASP Top 10 er en bredt anvendt liste over de mest betydningsfulde kategorier af sikkerhedsrisici i webapplikationer, udgivet af Open Worldwide Application Security Project. Store virksomheder bruger den til at forme programmer for sikker udvikling, men den er lige så nyttig for små og mellemstore virksomheder, der driver en kundeportal, en webshop eller et SaaS-produkt. Denne vejledning omsætter kategorierne til enkle spørgsmål, som en SMV kan stille til sine egne applikationer og leverandører.

Hvad det er

Top 10 er et bevidstgørelsesdokument, der hjælper teams med at fokusere på de mest almindelige risici i webapplikationer. Hver kategori samler beslægtede svagheder. Den aktuelle 2025-udgave, som erstattede listen fra 2021, omfatter: brudt adgangskontrol (som nu også omfatter server-side request forgery); sikkerhedsfejlkonfiguration; fejl i softwareforsyningskæden; kryptografiske fejl; injection; usikkert design; autentifikationsfejl; fejl i software- eller dataintegritet; fejl i logning og alarmering; og forkert håndtering af ekstraordinære forhold. Mange spørgeskemaer og kontrakter henviser stadig til 2021-udgaven, så bekræft, hvilken version en kunde eller partner forventer, når I fastsætter krav. For en SMV ligger værdien mindre i at lære listen udenad og mere i at bruge den som en tjekliste med spørgsmål: hvem kan se hvad, hvordan håndteres adgangskoder og sessioner, hvilke komponenter er forældede, og ville nogen opdage et igangværende angreb.

Hvem er det for?

Denne tjekliste er skrevet til:

SMV’er, der driver en kundevendt webapplikation, portal eller webshop
Stiftere og ledere, der bestiller udvikling hos et bureau eller en freelancer og har brug for at stille kvalificerede spørgsmål
Små interne teams uden en dedikeret sikkerhedsrolle
Virksomheder, der forbereder sig på et sikkerhedsspørgeskema fra en kunde, som henviser til OWASP

Hvad det hjælper med at afklare

Når I gennemgår kategorierne, hjælper det med at afklare:

Om brugere kun kan se og ændre de data, deres rolle tillader
Hvilke tredjepartsbiblioteker, plugins og frameworks der er forældede eller ikke længere vedligeholdes
Om konfiguration, hemmeligheder og fejlmeddelelser afslører mere, end de bør
Om logningen ville sætte jer i stand til at opdage og undersøge mistænkelig aktivitet

Hvad er inkluderet

Adgangskontrol: test, at en bruger ikke kan se eller redigere en anden kundes poster ved at ændre et ID i URL’en eller anmodningen, og begræns, hvilke interne eller eksterne adresser applikationen kan få til at kalde
Kryptografi: bekræft HTTPS overalt, moderne TLS, og at adgangskoder gemmes med en stærk hashingalgoritme
Injection: kontrollér, at input valideres, og at databaseforespørgsler er parametriserede
Design: dokumentér, hvordan følsomme arbejdsgange som nulstilling af adgangskode, betalinger og refusioner skal fungere, herunder misbrugsscenarier
Fejlkonfiguration: fjern standardkonti, slå debug-output fra, og gennemgå sikkerhedsheaders
Forsyningskæde: før en oversigt over biblioteker, plugins og build-værktøjer, patch efter en fastlagt plan, og fjern komponenter, der ikke vedligeholdes
Autentifikation: tilbyd multifaktorgodkendelse til administratorer, og begræns gentagne loginforsøg
Integritet: beskyt build- og deployment-pipelines, og kontrollér, at opdateringer kommer fra betroede kilder
Logning og alarmering: registrér logins, ændringer af rettigheder og administrative handlinger, og sørg for, at alarmer når frem til nogen, der gennemgår dem
Ekstraordinære forhold: sørg for, at fejl, timeouts og uventede input fejler sikkert uden at afsløre stack traces eller springe sikkerhedskontroller over

Hvad er ikke inkluderet?

En erklæring om, at håndtering af Top 10 gør en applikation sikker; det er et nyttigt udgangspunkt for bredere dækning
Certificering eller formel godkendelse af compliance
Trinvise udnyttelsesteknikker
Dækning af risici uden for webapplikationer, f.eks. interne netværk eller fysisk sikkerhed

Hvornår du skal vælge det

Brug tjeklisten, når I planlægger nye funktioner, når I tager en udviklingsleverandør ind, og før en lancering eller større udgivelse. Hvis flere svar er „det ved vi ikke“, er det et signal om at bestille en uafhængig gennemgang i stedet for at stole på antagelser. Hvis en kunde eller partner beder om dokumentation for OWASP-tilpasset test, vil en dokumenteret sikkerhedsgennemgang af applikationen eller en penetrationstest normalt være mere overbevisende end en selvevaluering.

Vores tilgang

Start med adgangskontrol og autentifikation, fordi det ofte er dér, alvorlige problemer opstår i forretningsapplikationer. Bed jeres udviklere eller leverandør om at gennemgå, hvordan hver rolle håndhæves på serveren og ikke blot skjules i brugerfladen. Lav derefter en oversigt over komponenter, og aftal en opdateringsrutine. Sørg for, at hemmeligheder ikke gemmes i kodearkiver, og at fejlsider ikke afslører stack traces. For en uafhængig vurdering undersøger vores tjeneste Application Security Review aftalte webapplikationer og API’er i forhold til almindelige applikationsrisici, herunder OWASP-kategorierne, og leverer fund graderet efter alvorlighed med vejledning i afhjælpning. Hvis jeres bekymring primært gælder et CMS-baseret website, kan hærdning af websitet være det mere passende skridt. Uanset hvad I vælger, så indbyg tjeklisten i jeres udgivelsesproces, så hver ændring vurderes i forhold til den, i stedet for at behandle sikkerhed som en engangsbegivenhed før lancering.

Application Security Review

Se siden for tjenesten Application Security Review