قائمة OWASP Top 10 مرجع واسع الاستخدام لأهم فئات المخاطر الأمنية في تطبيقات الويب، ويصدرها مشروع Open Worldwide Application Security Project. وتستخدمها المؤسسات الكبرى لتشكيل برامج التطوير الآمن، لكنها مفيدة بالقدر نفسه للشركات الصغيرة والمتوسطة التي تشغّل بوابة للعملاء أو متجرًا إلكترونيًا أو منتج SaaS. يحوّل هذا الدليل الفئات إلى أسئلة واضحة يمكن للشركة الصغيرة أو المتوسطة أن تطرحها بشأن تطبيقاتها ومورديها.
ما هو
قائمة Top 10 وثيقة توعوية تساعد الفرق على التركيز على أكثر مخاطر تطبيقات الويب شيوعًا. وكل فئة تجمع نقاط ضعف مترابطة. ويغطي الإصدار الحالي لعام 2025، الذي حلّ محل قائمة 2021، ما يلي: خلل التحكم في الوصول (الذي يشمل الآن أيضًا تزوير الطلبات من جانب الخادم SSRF)؛ وأخطاء الإعدادات الأمنية؛ وإخفاقات سلسلة توريد البرمجيات؛ وإخفاقات التشفير؛ والحقن؛ والتصميم غير الآمن؛ وإخفاقات المصادقة؛ وإخفاقات سلامة البرمجيات أو البيانات؛ وإخفاقات التسجيل والتنبيه؛ وسوء معالجة الحالات الاستثنائية. ولا تزال استبيانات وعقود كثيرة تشير إلى إصدار 2021، لذا تأكد من الإصدار الذي يتوقعه العميل أو الشريك عند تحديد المتطلبات. وبالنسبة إلى الشركة الصغيرة أو المتوسطة، لا تكمن القيمة في حفظ القائمة بقدر ما تكمن في استخدامها قائمةً للأسئلة: من يمكنه رؤية ماذا، وكيف تُعالَج كلمات المرور والجلسات، وما المكونات القديمة، وهل سيلاحظ أحد هجومًا جاريًا.
لمن هذا؟
كُتبت قائمة التحقق هذه لـ:
- الشركات الصغيرة والمتوسطة التي تشغّل تطبيق ويب أو بوابة أو متجرًا إلكترونيًا موجّهًا للعملاء
- المؤسسين والمديرين الذين يكلّفون وكالة أو مستقلًا بالتطوير ويحتاجون إلى طرح أسئلة مستنيرة
- الفرق الداخلية الصغيرة التي لا تضم دورًا مخصصًا للأمن
- الشركات التي تستعد لاستبيان أمني من عميل يشير إلى OWASP
ما يساعد على توضيح
يساعد العمل على هذه الفئات في توضيح:
- ما إذا كان المستخدمون لا يستطيعون رؤية وتعديل إلا البيانات التي يسمح بها دورهم
- المكتبات والإضافات وأطر العمل التابعة لأطراف ثالثة القديمة أو غير المصانة
- ما إذا كانت الإعدادات والأسرار ورسائل الخطأ تكشف أكثر مما ينبغي
- ما إذا كان التسجيل سيتيح لك ملاحظة النشاط المريب والتحقيق فيه
ما هو متضمن
- التحكم في الوصول: اختبر أن المستخدم لا يستطيع عرض سجلات عميل آخر أو تعديلها بتغيير معرّف في عنوان URL أو في الطلب، وقيّد العناوين الداخلية أو الخارجية التي يمكن دفع التطبيق إلى استدعائها
- التشفير: تأكد من استخدام HTTPS في كل مكان، وTLS حديث، ومن تخزين كلمات المرور بخوارزمية تجزئة قوية
- الحقن: تحقق من أن المدخلات تخضع للتحقق وأن استعلامات قواعد البيانات معلَّمة (Parameterised)
- التصميم: وثّق كيف ينبغي أن تعمل مسارات العمل الحساسة مثل إعادة تعيين كلمة المرور والمدفوعات والمبالغ المستردة، بما في ذلك حالات إساءة الاستخدام
- أخطاء الإعدادات: أزِل الحسابات الافتراضية، وعطّل مخرجات التصحيح، وراجع ترويسات الأمان
- سلسلة التوريد: احتفظ بقائمة جرد للمكتبات والإضافات وأدوات البناء، وطبّق التحديثات وفق جدول محدد، وأزِل المكونات غير المصانة
- المصادقة: وفّر المصادقة متعددة العوامل للمسؤولين، وقيّد محاولات تسجيل الدخول المتكررة
- السلامة: احمِ خطوط البناء والنشر، وتحقق من أن التحديثات تأتي من مصادر موثوقة
- التسجيل والتنبيه: سجّل عمليات الدخول وتغييرات الصلاحيات والإجراءات الإدارية، وتأكد من وصول التنبيهات إلى شخص يراجعها
- الحالات الاستثنائية: تأكد من أن الأخطاء وانتهاء المهل والمدخلات غير المتوقعة تفشل بأمان، دون كشف تتبعات المكدّس أو تخطي الفحوص الأمنية
ما لا يشتمل عليه
- إفادة بأن معالجة فئات Top 10 تجعل التطبيق آمنًا؛ فهي نقطة انطلاق مفيدة نحو تغطية أوسع
- شهادة أو اعتماد امتثال رسمي
- تقنيات استغلال خطوة بخطوة
- تغطية المخاطر خارج تطبيقات الويب، مثل الشبكات الداخلية أو الأمن المادي
متى تختارها
استخدم قائمة التحقق عند التخطيط لميزات جديدة، وعند التعاقد مع مورّد تطوير، وقبل الإطلاق أو إصدار رئيسي. وإذا كانت إجابات عدة هي «لا نعرف»، فهذه إشارة إلى ضرورة التكليف بمراجعة مستقلة بدلًا من الاعتماد على الافتراضات. وإذا طلب عميل أو شريك أدلة على اختبار متوافق مع OWASP، فإن مراجعة موثقة لأمن التطبيقات أو اختبار اختراق سيكون عادةً أكثر إقناعًا من التقييم الذاتي.
نهجنا
ابدأ بالتحكم في الوصول والمصادقة، لأنهما كثيرًا ما يكونان موضع ظهور المشكلات الجسيمة في تطبيقات الأعمال. اطلب من مطوّريك أو مورّدك أن يشرحوا لك كيف يُفرض كل دور على الخادم، لا أن يُخفى في الواجهة فحسب. ثم اجرد المكونات واتفق على روتين للتحديث. وتأكد من عدم تخزين الأسرار في مستودعات الشيفرة، ومن أن صفحات الخطأ لا تكشف تتبعات المكدّس. وللحصول على رؤية مستقلة، تفحص خدمتنا «Application Security Review» تطبيقات الويب وواجهات API المتفق عليها مقابل مخاطر التطبيقات الشائعة، بما فيها فئات OWASP، وتقدّم نتائج مصنّفة حسب درجة الخطورة مع إرشادات للمعالجة. وإذا كان قلقك يتعلق أساسًا بموقع مبني على نظام لإدارة المحتوى (CMS)، فقد يكون تقوية الموقع الإلكتروني الخطوة الأكثر تناسبًا. وأيًّا كان اختيارك، أدرج قائمة التحقق في عملية الإصدار لديك بحيث يُنظر في كل تغيير على ضوئها، بدلًا من التعامل مع الأمن كحدث لمرة واحدة قبل الإطلاق.
الأسئلة المتكررة
مقالات ذات صلة
ابدأ
هل تريد رؤية مستقلة لتطبيق الويب لديك؟
أخبرنا عن التطبيق وأدوار مستخدميه وأي إطلاق مرتقب أو طلب من عميل. وسنقترح مراجعة محددة النطاق.
اطلب نطاقًا مكتوبًا