Definitie: De OWASP Top 10 is een lijst van de tien belangrijkste beveiligingsrisico’s voor webapplicaties, samengesteld door het Open Web Application Security Project (OWASP). De lijst wordt periodiek vernieuwd op basis van data over kwetsbaarheden en een enquête onder beveiligingsexperts, en geldt wereldwijd als basis voor veilige softwareontwikkeling.
In het kort
- OWASP staat voor Open Web Application Security Project, een open gemeenschap rond de beveiliging van software.
- De nieuwste editie is de OWASP Top 10:2025, met Broken Access Control opnieuw op de eerste plaats.
- Nieuw in 2025 zijn Software Supply Chain Failures en Mishandling of Exceptional Conditions; SSRF is opgegaan in Broken Access Control.
- Volgens Jump wordt de lijst ongeveer elke drie tot vier jaar vernieuwd; eerdere edities verschenen onder meer in 2017 en 2021.
Wat is de OWASP Top 10?
De OWASP Top 10 is geen wet en geen certificaat, maar een bewustwordingsdocument. Het benoemt de soorten fouten die in webapplicaties het vaakst voorkomen of de grootste gevolgen hebben. Ontwikkelaars, testers en opdrachtgevers gebruiken de lijst als gemeenschappelijke taal: bij een pentest of code review wordt vaak gecontroleerd of de applicatie bestand is tegen elk van de tien risico’s.
Voor de editie van 2025 analyseerde OWASP volgens de eigen introductie gegevens van ruim 2,8 miljoen applicaties. De tien categorieën omvatten samen 248 soorten zwakheden (CWE’s). Twee categorieën zijn mede gekozen op basis van een enquête onder de gemeenschap, omdat de data daar onvolledig was.
De OWASP Top 10:2025
| Nr. | Risico | Wat het betekent |
|---|---|---|
| A01 | Broken Access Control | Gebruikers kunnen gegevens zien of acties uitvoeren waar ze geen recht op hebben |
| A02 | Security Misconfiguration | Onveilige standaardinstellingen, open beheerschermen of te uitgebreide foutmeldingen |
| A03 | Software Supply Chain Failures | Risico’s in gebruikte bibliotheken, pakketten en bouwprocessen |
| A04 | Cryptographic Failures | Gevoelige gegevens onvoldoende versleuteld of met zwakke methoden |
| A05 | Injection | Invoer wordt als opdracht uitgevoerd, zoals bij SQL-injectie of XSS |
| A06 | Insecure Design | Beveiliging ontbreekt al in het ontwerp, niet alleen in de code |
| A07 | Authentication Failures | Zwakke inlog, wachtwoordbeleid of sessiebeheer |
| A08 | Software or Data Integrity Failures | Updates of gegevens worden niet op echtheid gecontroleerd |
| A09 | Security Logging and Alerting Failures | Aanvallen worden niet vastgelegd of niet opgemerkt |
| A10 | Mishandling of Exceptional Conditions | Fouten en uitzonderingen worden onveilig afgehandeld |
Wat is er veranderd ten opzichte van 2021?
| Verandering | Toelichting |
|---|---|
| Security Misconfiguration stijgt | Van plaats 5 naar 2 |
| Software Supply Chain Failures nieuw | Uitbreiding van Vulnerable and Outdated Components uit 2021 |
| Mishandling of Exceptional Conditions nieuw | Nieuwe categorie op plaats 10 |
| SSRF verdwijnt als aparte categorie | Valt nu onder Broken Access Control |
| Cryptographic Failures, Injection en Insecure Design dalen | Naar plaats 4, 5 en 6 |
| Nieuwe namen | Authentication Failures en Security Logging and Alerting Failures |
Veel Nederlandstalige artikelen, zoals die van CyberAnt en Plexicus, beschrijven nog de lijst van 2021. Controleer dus altijd welke editie een bron bedoelt.
Wat betekenen de belangrijkste risico’s in de praktijk?
Broken Access Control. Een klant past in de adresbalk een nummer aan en ziet de factuur van een andere klant. Of een gewone gebruiker opent een beheerpagina door het adres te raden. De oplossing is bij elk verzoek op de server controleren of deze gebruiker dit mag.
Security Misconfiguration. Een testomgeving staat open op internet, een standaardwachtwoord is nooit gewijzigd of een foutmelding toont technische details. Vaste, gecontroleerde instellingen per omgeving voorkomen dit.
Software Supply Chain Failures. Moderne applicaties gebruiken tientallen tot honderden externe pakketten. Een kwetsbaar of gemanipuleerd pakket raakt dan ook jouw applicatie. Bijhouden welke pakketten je gebruikt en ze actueel houden is essentieel.
Injection. Invoer van een gebruiker wordt zonder controle in een databasevraag of pagina gezet. Met vaste parameters en correcte uitvoerbehandeling, standaard in moderne frameworks, is dit grotendeels te voorkomen.
Hoe gebruik je de OWASP Top 10?
- Bij het ontwerp. Bepaal vooraf rollen, rechten en welke gegevens gevoelig zijn.
- Bij het bouwen. Gebruik een gangbaar framework met ingebouwde bescherming en houd pakketten actueel.
- Bij het testen. Laat code reviews en tests controleren op de tien categorieën.
- Bij een pentest. Laat een externe partij de applicatie aanvallen voordat die live gaat.
- Na livegang. Leg verdachte activiteit vast en zorg dat iemand een melding krijgt.
Jump wijst erop dat de OWASP Top 10 en ISO 27001 elkaar aanvullen: ISO 27001 is een breed raamwerk voor informatiebeveiliging, de OWASP Top 10 richt zich technisch op applicaties.
Veelvoorkomende misverstanden
- “Onze applicatie voldoet aan de OWASP Top 10.” De lijst is geen norm met een keurmerk. Je kunt hooguit laten toetsen of de bekende risico’s zijn afgedekt.
- “Het framework regelt alles.” Een goed framework helpt tegen injectie, maar bepaalt niet wie welke gegevens mag zien. Dat blijft een ontwerpkeuze.
- “Eén pentest is genoeg.” Elke nieuwe functie en elk bijgewerkt pakket kan nieuwe risico’s meebrengen.
- “Alleen grote bedrijven zijn doelwit.” Veel aanvallen zijn geautomatiseerd en zoeken naar bekende zwakheden, ongeacht de omvang van de organisatie.
Wat betekent dit voor jouw project?
Toegangscontrole staat bovenaan de lijst, en dat begint bij het ontwerp. Wie mag wat zien en wat doen? Ik kijk bij een proces naar wat er binnenkomt, wie ermee verder moet en welke informatie die persoon nodig heeft. Die vraag bepaalt ook welke rechten elke rol krijgt, en wat iemand juist niet hoort te zien.
Vraag? Stuur me voor wie het is, welke gegevens erin komen en wie wat mag zien. Dan bepalen we samen de logische eerste stap. Lees ook meer over een webapplicatie bouwen.
Veelgestelde vragen over de OWASP Top 10
Wat is de OWASP Top 10?
De OWASP Top 10 is een lijst van de tien belangrijkste beveiligingsrisico’s voor webapplicaties, opgesteld door het Open Web Application Security Project. De lijst dient als basis voor veilig ontwikkelen, testen en pentesten.
Wat betekent OWASP?
OWASP staat voor Open Web Application Security Project. Het is een open gemeenschap die gratis kennis, tools en richtlijnen publiceert over de beveiliging van software.
Wat staat er op nummer 1 van de OWASP Top 10?
In zowel de editie van 2021 als die van 2025 staat Broken Access Control op nummer 1. Dat zijn fouten waardoor gebruikers gegevens kunnen zien of acties kunnen uitvoeren waarvoor ze geen rechten hebben.
Verwante termen
Privacy by design · OAuth · Backend · Broncode · Technische schuld · Laravel
← Terug naar de kennisbank