OWASP Top 10 Terbaru: Daftar 10 Celah Keamanan pada Website

Website yang terlihat kuat belum tentu aman dari serangan siber. Celah kecil dalam aplikasi dapat dimanfaatkan peretas untuk mencuri data atau mendapatkan akses tanpa izin. OWASP Top 10 menjadi salah satu acuan yang membantu developer mengenali risiko keamanan paling penting pada aplikasi web.

Ibarat sebuah rumah, aplikasi tidak cukup hanya memiliki bangunan yang kokoh. Pintu, jendela, dan pagar juga perlu diamankan agar tidak menjadi celah bagi penyusup. Begitu pula dengan website, keamanan perlu diperhatikan mulai dari akses pengguna, pengelolaan data, konfigurasi, hingga komponen yang digunakan.

Dalam artikel ini, kita akan membahas 10 risiko keamanan OWASP Top 10 dan memahami langkah yang dapat dilakukan untuk mengurangi risikonya pada website.

Ringkasan

• OWASP Top 10 adalah daftar 10 risiko keamanan aplikasi web yang perlu diperhatikan dalam pengembangan dan pengelolaan website.
• Daftar ini membantu developer dan tim keamanan mengenali risiko seperti kontrol akses yang lemah, injeksi, kesalahan konfigurasi, hingga kegagalan autentikasi.
• Setiap risiko dapat berdampak pada kerahasiaan data, integritas sistem, maupun ketersediaan aplikasi jika tidak ditangani dengan baik.
• Memahami OWASP Top 10 dapat membantu tim menerapkan praktik keamanan yang lebih baik sejak tahap pengembangan hingga aplikasi digunakan di lingkungan produksi.

Apa Itu OWASP Top 10?

OWASP Top 10 adalah daftar 10 risiko keamanan aplikasi web yang paling penting untuk diperhatikan dalam proses pengembangan dan pengelolaan website. Daftar ini membantu developer dan tim keamanan memahami berbagai jenis kerentanan yang dapat dimanfaatkan untuk menyerang aplikasi.

OWASP Top 10 disusun dan diperbarui oleh OWASP (Open Worldwide Application Security Project), sebuah komunitas global yang berfokus pada peningkatan keamanan perangkat lunak. Daftar ini dapat digunakan sebagai acuan awal untuk mengidentifikasi risiko dan menentukan prioritas keamanan aplikasi.

Risiko yang dibahas mencakup berbagai aspek, mulai dari kontrol akses, autentikasi, pengelolaan data sensitif, injeksi, konfigurasi keamanan, hingga keamanan komponen dan pemantauan aplikasi. Dengan memahami OWASP Top 10, developer dapat lebih mudah mengenali potensi celah dan menerapkan langkah pencegahan sejak tahap pengembangan.

Mengapa Keamanan Web Begitu Penting Bagi Anda?

Setiap hari, jutaan transaksi keuangan, data pribadi, dan informasi sensitif dan lainnya banyak melintas pada traffic yang melewati media internet. Hal ini dapat berdampak krusial seperti: 

• Kebocoran Data Pribadi: Data pengguna seperti nama, kata sandi, hingga nomor kartu kredit bisa dicuri dan dijual di pasar gelap.
• Kerugian Finansial: Perusahaan dapat kehilangan dana dalam jumlah besar akibat peretasan atau denda regulasi privasi data.
• Kerusakan Reputasi: Kepercayaan pelanggan yang dibangun bertahun-tahun bisa hancur hanya dalam hitungan detik.

Memahami celah keamanan bukan lagi tugas khusus tim TI berpengalaman. Sebagai pemula, pengembang web baru, atau pemilik bisnis digital, mengetahui gambaran besar ancaman siber adalah langkah awal untuk melindungi aset digital Anda.

Daftar OWASP Top 10 yang perlu diketahui

OWASP Top 10:2025 berisi 10 kategori risiko keamanan aplikasi web yang perlu diperhatikan oleh developer dan tim keamanan. Daftar ini tidak hanya menunjukkan jenis celah yang dapat dieksploitasi, tetapi juga membantu menentukan area keamanan yang perlu mendapatkan perhatian lebih dalam proses pengembangan dan pengelolaan aplikasi.

Berikut 10 risiko yang termasuk dalam OWASP Top 10:2025:

1. Broken Access Control (Kegagalan Kontrol Akses)

Broken Access Control terjadi ketika aplikasi tidak membatasi akses pengguna sesuai dengan hak atau perannya. Akibatnya, pengguna biasa dapat mengakses data atau fungsi yang seharusnya hanya tersedia untuk pengguna tertentu.

Contohnya, seorang pelanggan hanya boleh melihat data miliknya sendiri. Namun, dengan mengubah ID pada URL dari /profile/100 menjadi /profile/101, ia justru dapat melihat data pelanggan lain.

Jika tidak ditangani, celah ini dapat menyebabkan akses tidak sah, perubahan data, hingga pengambilalihan fungsi administratif.

Cara mencegah: terapkan pemeriksaan otorisasi pada setiap permintaan yang membutuhkan hak akses tertentu, gunakan prinsip least privilege, dan jangan hanya mengandalkan ID atau parameter dari sisi pengguna.

Catatan: Pada OWASP Top 10:2025, SSRF (Server-Side Request Forgery) telah digabungkan ke dalam kategori Broken Access Control.

2. Security Misconfiguration (Kesalahan Konfigurasi Keamanan)

Security Misconfiguration terjadi ketika server, framework, aplikasi, database, atau layanan pendukung menggunakan konfigurasi yang tidak aman.

Contohnya adalah menggunakan password default, menampilkan pesan error yang terlalu detail, mengaktifkan fitur yang sebenarnya tidak diperlukan, atau membiarkan konfigurasi debug aktif pada server production.

Konfigurasi yang salah dapat memberikan informasi berharga kepada penyerang atau membuka akses yang seharusnya tidak tersedia.

Cara mencegah: gunakan konfigurasi yang aman sejak awal, matikan fitur yang tidak diperlukan, hindari penggunaan kredensial default, sembunyikan informasi sensitif pada pesan error, dan lakukan pemeriksaan konfigurasi secara berkala.

Kategori ini mengalami kenaikan dari posisi #5 pada 2021 menjadi #2 pada OWASP Top 10:2025, berdasarkan data yang digunakan OWASP.

3. Software Supply Chain Failures (Kegagalan Rantai Pasok Perangkat Lunak)

Aplikasi modern jarang dibuat sepenuhnya dari kode sendiri. Developer biasanya menggunakan berbagai library, framework, package, plugin, dependency, sistem build, hingga repository pihak ketiga.

Software Supply Chain Failures terjadi ketika salah satu bagian dari rantai pasok tersebut mengalami kompromi atau tidak dikelola dengan baik. Risikonya tidak hanya berasal dari library yang memiliki vulnerability, tetapi juga dapat terjadi pada proses build, distribusi, atau dependency yang digunakan aplikasi.

Contohnya, aplikasi menggunakan package pihak ketiga yang telah disusupi kode berbahaya. Ketika package tersebut dipasang atau diperbarui, kode berbahaya ikut masuk ke dalam aplikasi.

Cara mencegah: gunakan dependency dari sumber terpercaya, lakukan audit dependency, gunakan versi yang terkontrol, pantau vulnerability pada package, dan amankan proses build serta deployment.

Pada versi 2025, kategori ini merupakan perluasan dari A06:2021 Vulnerable and Outdated Components dengan cakupan yang lebih luas terhadap ekosistem software supply chain.

4. Cryptographic Failures (Kegagalan Kriptografi)

Cryptographic Failures terjadi ketika aplikasi gagal melindungi data menggunakan mekanisme kriptografi yang sesuai. Masalahnya dapat berupa tidak menggunakan enkripsi, menggunakan algoritma yang lemah, konfigurasi kriptografi yang salah, hingga kebocoran kunci enkripsi.

Data yang berisiko antara lain password, informasi pribadi, data pembayaran, token autentikasi, dan informasi sensitif lainnya.

Sebagai contoh, data sensitif dikirim tanpa perlindungan koneksi yang memadai sehingga dapat lebih mudah disadap oleh pihak yang tidak berwenang.

Cara mencegah: gunakan HTTPS/TLS untuk data yang dikirim melalui jaringan, gunakan algoritma kriptografi yang masih direkomendasikan, lindungi encryption key, dan jangan menyimpan password dalam bentuk plain text. OWASP juga menekankan pentingnya enkripsi data saat transit.

5. Injection (Injeksi)

Injection terjadi ketika aplikasi menerima input pengguna dan memasukkannya ke dalam perintah atau interpreter tanpa validasi dan pemrosesan yang aman. SQL Injection merupakan salah satu contoh yang paling dikenal. Penyerang dapat memasukkan input tertentu ke dalam form atau parameter sehingga perintah SQL yang dijalankan database berubah dari yang seharusnya.

Selain SQL Injection, kategori ini juga mencakup berbagai jenis injection lainnya, termasuk beberapa bentuk Cross-Site Scripting (XSS).

Cara mencegah: gunakan parameterized query atau prepared statement, lakukan validasi input, gunakan API yang aman, dan hindari menggabungkan input pengguna secara langsung ke dalam perintah.

OWASP 2025 tetap menempatkan Injection sebagai salah satu kategori utama, meskipun posisinya berubah dari #3 pada 2021 menjadi #5 pada 2025.

6. Insecure Design (Desain Tidak Aman)

Insecure Design berkaitan dengan kelemahan pada desain dan logika aplikasi yang sudah muncul sejak tahap perencanaan. Berbeda dengan kesalahan implementasi, masalah ini dapat terjadi meskipun kode aplikasi ditulis dengan baik. Jika aturan bisnis atau mekanisme keamanan sejak awal tidak dirancang dengan benar, aplikasi tetap dapat memiliki celah.

Contohnya, sebuah aplikasi memberikan kesempatan pengguna mencoba kode OTP tanpa batas. Developer mungkin sudah membuat kode OTP dengan aman, tetapi desain sistemnya tidak membatasi jumlah percobaan.

Cara mencegah: lakukan threat modeling, identifikasi risiko sejak tahap desain, tentukan kebutuhan keamanan sebelum implementasi, dan rancang mekanisme pembatasan akses berdasarkan skenario serangan yang mungkin terjadi.

7. Authentication Failures (Kegagalan Autentikasi)

Pada OWASP Top 10:2025, kategori ini sebelumnya dikenal sebagai Identification and Authentication Failures dan namanya disederhanakan menjadi Authentication Failures.

Risiko ini terjadi ketika mekanisme login dan autentikasi aplikasi tidak diterapkan dengan benar. Contohnya adalah password yang lemah, tidak adanya pembatasan percobaan login, mekanisme session yang tidak aman, atau proses pemulihan password yang mudah disalahgunakan.

Salah satu contoh sederhananya adalah aplikasi tidak membatasi percobaan login sehingga penyerang dapat mencoba ribuan kombinasi password secara otomatis melalui brute-force attack.

Cara mencegah: gunakan password yang kuat, terapkan rate limiting, gunakan multi-factor authentication (MFA) jika memungkinkan, kelola session dengan aman, dan buat mekanisme reset password yang tidak mudah dieksploitasi.

8. Software or Data Integrity Failures (Kegagalan Integritas Software atau Data)

Kategori ini berhubungan dengan kegagalan aplikasi dalam memastikan bahwa software, kode, konfigurasi, atau data yang digunakan berasal dari sumber yang terpercaya dan belum dimodifikasi secara tidak sah.

Contohnya adalah aplikasi menerima package, update, atau data dari sumber yang tidak diverifikasi. Jika sumber tersebut telah dikompromikan, penyerang dapat menyisipkan kode atau data berbahaya.

Cara mencegah: verifikasi integritas package dan update, gunakan sumber terpercaya, terapkan mekanisme signing atau verifikasi checksum jika tersedia, serta batasi siapa saja yang memiliki akses untuk mengubah software dan data penting.

Kategori ini tetap berada pada posisi #8 dalam OWASP Top 10:2025.

9. Security Logging & Alerting Failures (Kegagalan Logging dan Alerting Keamanan)

Aplikasi yang aman tidak hanya perlu mencegah serangan, tetapi juga harus mampu mendeteksi ketika sesuatu yang mencurigakan terjadi.

Security Logging & Alerting Failures terjadi ketika aktivitas keamanan tidak dicatat dengan baik atau tidak ada mekanisme pemberitahuan ketika aktivitas mencurigakan terdeteksi.

Misalnya, seorang penyerang mencoba login menggunakan ribuan password atau mengakses endpoint sensitif berkali-kali, tetapi sistem tidak mencatat aktivitas tersebut dan tidak mengirimkan peringatan kepada administrator.

Akibatnya, serangan dapat berlangsung lebih lama sebelum diketahui.

Cara mencegah: catat aktivitas penting seperti login, perubahan hak akses, kegagalan autentikasi, dan aktivitas administratif. Selain itu, gunakan mekanisme alerting agar aktivitas mencurigakan dapat segera ditindaklanjuti.

Pada 2025, OWASP mengubah nama kategori ini dari Security Logging and Monitoring Failures menjadi Security Logging & Alerting Failures untuk menekankan bahwa logging saja tidak cukup tanpa mekanisme alerting yang dapat memicu tindakan.

10. Mishandling of Exceptional Conditions (Kesalahan Penanganan Kondisi Tidak Normal)

Ini merupakan kategori baru pada OWASP Top 10:2025. Kategori ini membahas masalah yang muncul ketika aplikasi tidak menangani kondisi tidak normal, error, atau situasi tak terduga dengan benar.

Contohnya adalah aplikasi mengalami error ketika menerima input tertentu, kemudian sistem justru memberikan akses yang seharusnya ditolak. Kondisi seperti ini sering berkaitan dengan kesalahan logika, penanganan error yang tidak tepat, atau sistem yang secara tidak sengaja fail open.

Misalnya, sistem seharusnya menolak permintaan ketika proses verifikasi gagal. Namun karena kesalahan pada mekanisme error handling, sistem justru menganggap proses tersebut berhasil dan memberikan akses kepada pengguna.

Cara mencegah: rancang penanganan error secara eksplisit, pastikan kondisi gagal tidak memberikan akses tambahan, lakukan pengujian terhadap kondisi abnormal, dan pastikan aplikasi memiliki perilaku yang aman ketika terjadi kegagalan.

Bagaimana Cara Mencegah Risiko OWASP Top 10?

Keamanan siber bukanlah sebuah tujuan akhir, melainkan sebuah proses berkelanjutan dalam mengelola dan mengembangkan sebuah sistem. Anda tidak harus menjadi pakar keamanan dalam semalam untuk mulai membangun sistem yang aman.

Langkah nyata yang bisa Anda ambil mulai hari ini:

1. Lakukan Pembaruan Rutin: Pastikan sistem operasi, framework, dan library yang Anda gunakan selalu diperbarui ke versi terbaru.
2. Gunakan Kata Sandi Kuat & MFA: Wajibkan penggunaan Multi-Factor Authentication (MFA) pada akun-akun penting.
3. Validasi Setiap Input: Jangan pernah percaya pada data yang dimasukkan oleh pengguna sebelum diperiksa oleh sistem.
4. Pelajari Secure Coding: Pelajari tata cara penulisan kode yang aman saat membangun fitur baru.

OWASP Top 10 untuk Developer dan Pemilik Website

Memahami OWASP Top 10 tidak hanya penting bagi developer, tetapi juga bagi pemilik website. Developer berperan dalam membangun aplikasi yang aman sejak tahap desain hingga implementasi, sedangkan pemilik website perlu memastikan aplikasi, CMS, plugin, server, dan komponen pendukung tetap diperbarui serta dikonfigurasi dengan baik.

5.1 Yang Perlu Diperhatikan Developer

Developer dapat menggunakan OWASP Top 10 sebagai acuan untuk mengidentifikasi risiko sejak proses perancangan hingga pengembangan aplikasi. Beberapa langkah yang dapat dilakukan antara lain menerapkan kontrol akses dengan benar, melakukan validasi input, menggunakan autentikasi yang aman, mengelola dependency, serta memastikan error dan aktivitas keamanan tercatat dengan baik.

Selain itu, pengujian keamanan sebaiknya dilakukan secara berkala untuk menemukan kerentanan sebelum aplikasi digunakan di lingkungan production.

5.2 Yang Perlu Diperhatikan Pemilik Website

Pemilik website tidak harus memahami seluruh aspek teknis OWASP Top 10, tetapi tetap perlu memperhatikan hal-hal dasar yang berkaitan dengan keamanan. Pastikan CMS, plugin, tema, framework, dan komponen lainnya selalu diperbarui serta gunakan password yang kuat dan autentikasi tambahan jika tersedia.

Penggunaan SSL/HTTPS, backup berkala, pembatasan akses, monitoring, serta layanan hosting dengan konfigurasi keamanan yang baik juga dapat membantu mengurangi risiko keamanan website.

FAQ

Berikut adalah beberapa pertanyaan popular tentang OWASP Top 10.

Penutup

OWASP Top 10 merupakan salah satu acuan penting untuk memahami berbagai risiko keamanan yang dapat terjadi pada aplikasi web. Versi terbaru membantu developer dan tim keamanan mengenali risiko seperti Broken Access Control, Security Misconfiguration, Software Supply Chain Failures, Injection, hingga Mishandling of Exceptional Conditions.

Memahami OWASP Top 10 bukan berarti website otomatis terbebas dari serangan. Daftar ini sebaiknya digunakan sebagai panduan awal untuk mengenali risiko dan menentukan prioritas keamanan, kemudian dilanjutkan dengan penerapan secure coding, pembaruan komponen, konfigurasi server yang tepat, monitoring, backup, serta pengujian keamanan secara berkala.

Bagi developer, penerapan keamanan sebaiknya dimulai sejak tahap desain dan terus diperhatikan hingga aplikasi berjalan di production. Sementara bagi pemilik website, memastikan CMS dan komponennya selalu diperbarui serta menggunakan infrastruktur yang aman merupakan langkah sederhana yang tidak boleh diabaikan.