Uygulama Güvenliği ve OWASP Top 10

Web uygulamalarındaki en yaygın açıklar ve savunmaları: enjeksiyon, bozuk erişim kontrolü, kimlik doğrulama hataları ve güvenli geliştirme hattına (SAST/DAST) entegrasyon.

Uygulama güvenliği (AppSec), açıkların büyük bölümünün doğduğu katmanı hedefler: kod ve tasarım. OWASP Top 10, web uygulamalarındaki en kritik güvenlik risklerini derleyen, sektörce kabul görmüş bir farkındalık belgesidir. Güncel sürüm OWASP Top 10:2025’tir. Bu rehber, listeyi uygulayıcı gözüyle okumanın ve savunmaya çevirmenin yolunu gösterir.

OWASP Top 10:2025

OWASP Top 10:2025 ve temel savunma yönü
Kategori	Savunmada akılda tutulacak nokta
A01 Bozuk Erişim Kontrolü↗	Yetki denetimi her istekte sunucu tarafında yapılır; varsayılan davranış “reddet” olmalı. Kimlik bilgisi değil, nesne sahipliği doğrulanır (IDOR).
A02 Güvenlik Yanlış Yapılandırması	Güvenli varsayılan, gereksiz özelliklerin kapatılması, hata mesajlarının sınırlanması ve yapılandırmanın kod olarak denetlenmesi.
A03 Yazılım Tedarik Zinciri Hataları	Bağımlılık envanteri (SBOM↗), bileşen taraması, derleme hattının ve paket kaynaklarının doğrulanması.
A04 Kriptografik Hatalar	Güncel algoritmalar, doğru anahtar yönetimi, aktarımda ve beklemede şifreleme↗.
A05 Enjeksiyon	Parametreli sorgular, bağlama duyarlı çıktı kodlama ve girdi doğrulama; en az yetkili veritabanı hesabı.
A06 Güvensiz Tasarım	Geliştirmeden önce tehdit modelleme↗ ve güvenli tasarım kalıpları; sonradan eklenen kontrol tasarım hatasını kapatmaz.
A07 Kimlik Doğrulama↗ Hataları	Çok faktörlü doğrulama, kaba kuvvet ve kimlik bilgisi doldurmaya karşı koruma, güvenli oturum yönetimi.
A08 Yazılım veya Veri Bütünlüğü Hataları	İmzalı güncellemeler, güvenilmeyen verinin serileştirilmesinden kaçınma, CI/CD hattının bütünlüğü.
A09 Güvenlik Günlüğü ve Alarm Hataları	Güvenlik olaylarını anlamlı ve değiştirilemez biçimde günlüğe yazmak ve alarma bağlamak.
A10 Olağanüstü Durumların Yanlış Yönetimi	Hata ve istisnalarda güvenli başarısızlık (fail closed); hata durumunda kontrol atlanmamalı, ayrıntı sızmamalı.

Liste, yılların ve veri kaynaklarının değişimiyle güncellenir; bir önceki sürümle farkları ve her kategorinin ayrıntılı açıklamasını OWASP’ın resmî sayfasından inceleyin (top10.owasp.org).

Top 10 hedef değil, başlangıçtır

OWASP, Top 10’un bir farkındalık belgesi olduğunu; kapsamlı bir gereksinim kümesi olmadığını belirtir. Doğrulama için OWASP Uygulama Güvenliği Doğrulama Standardı (ASVS) kullanılır; güncel kararlı sürümü 5.0.0’dır. ASVS, güvenlik gereksinimlerini test edilebilir maddeler hâlinde sunar ve hem tasarım hem de test aşamasında bir ölçüt olarak işe yarar.

Otomasyon ve doğrulama

SAST: kaynak kodu çalıştırmadan inceler.
DAST: çalışan uygulamayı dışarıdan sınar.
SCA: bağımlılıklardaki bilinen açıkları bulur (A03 için).
Sır taraması ve bağımlılık denetimi CI/CD hattına eklenmelidir.

Otomatik araçlar bozuk erişim kontrolü ve tasarım hatalarını çoğu zaman yakalayamaz; kritik uygulamalarda bağımsız sızma testi↗ ve kod incelemesi gerekir. Dışarıdan gelen bulgular için de güvenli açık bildirimi (responsible disclosure↗) kanalı kurun.