OWASP Top 10 2025 yang Perlu Dipahami Pemilik Website

Keamanan website sering dibahas dengan bahasa yang membuat pemilik bisnis merasa itu urusan tim teknis. Lalu percakapannya baru serius setelah data terbuka, akun diambil alih, atau layanan berhenti. OWASP Top 10 membantu memindahkan percakapan itu lebih awal. Dokumen ini bukan checklist kepatuhan dan bukan jaminan aplikasi aman; ia adalah peta risiko yang cukup baik untuk memulai pertanyaan.

Edisi 2025 menempatkan Broken Access Control, Security Misconfiguration, dan Software Supply Chain Failures di tiga posisi teratas. Urutannya penting, tetapi pola di belakangnya lebih penting lagi: banyak insiden lahir bukan dari teknik “hacker film”, melainkan dari akses yang terlalu longgar, pengaturan yang ceroboh, serta komponen pihak ketiga yang tidak dipantau.

1. Akses yang salah sering terlihat normal

Broken access control terjadi ketika seseorang dapat melihat atau melakukan sesuatu di luar kewenangannya. Contohnya sederhana: pelanggan mengganti nomor ID pada URL lalu melihat invoice pelanggan lain; staf cabang A dapat mengekspor data cabang B; atau user yang sudah diturunkan perannya masih bisa memanggil endpoint lama.

• Tanyakan apakah setiap aksi sensitif diperiksa kembali di server, bukan hanya disembunyikan dari menu.

• Uji dengan beberapa akun dan peran yang berbeda, termasuk akun nonaktif atau undangan yang kedaluwarsa.

• Pastikan akses ke file, export, dan endpoint API mengikuti aturan yang sama dengan halaman utama.

2. Konfigurasi adalah bagian dari produk

Aplikasi dengan kode rapi tetap dapat bocor karena debug mode aktif, bucket penyimpanan terbuka, credential lama belum dicabut, atau backup bisa diunduh publik. Security Misconfiguration naik ke posisi kedua pada daftar 2025—pengingat bahwa deployment, environment, dan hak akses infrastruktur perlu diperlakukan sebagai perubahan produk, bukan urusan belakang layar.

Photo by Valentin Lacoste on Unsplash

3. Dependency mempercepat, sekaligus memperluas tanggung jawab

Hampir semua aplikasi modern memakai package, image container, layanan cloud, dan script pihak ketiga. Software Supply Chain Failures mengajak tim melihat seluruh jalur itu: dari siapa komponen diperoleh, bagaimana versinya dikunci, kapan advisory keamanan ditinjau, sampai siapa yang boleh mengubah pipeline deployment.

Bukan berarti semua package berbahaya atau tim harus membuat semuanya sendiri. Justru sebaliknya: gunakan dependency dengan disiplin. Hapus yang tidak dipakai, simpan lock file, jalankan audit, batasi credential CI, dan punya jadwal update. Menunda update tanpa batas juga merupakan keputusan risiko—hanya saja sering tidak dicatat.

Pertanyaan singkat untuk rapat berikutnya

1. Data apa yang paling merugikan bila terbuka, berubah, atau tidak tersedia?

2. Siapa yang saat ini punya akses administrator, dan kapan daftar itu terakhir ditinjau?

3. Apakah backup pernah benar-benar diuji untuk restore, bukan hanya terlihat “sukses” di dashboard?

4. Berapa lama tim mengetahui error penting, lonjakan login gagal, atau perubahan permission?

5. Siapa yang bertanggung jawab menilai dan memasang security update?

6. Apa jalur komunikasi jika insiden terjadi di luar jam kerja?

Jangan berhenti pada Top 10

Daftar OWASP bersifat awareness. Ia tidak menggantikan threat modeling, review arsitektur, pengujian akses, secure coding, monitoring, atau latihan respons insiden. Aplikasi pembayaran dan portal kesehatan juga membutuhkan kontrol yang berbeda dari website company profile. Gunakan daftar ini untuk menemukan area buta, lalu turunkan menjadi tindakan yang sesuai dengan data dan dampak bisnis Anda.

Keamanan yang matang bukan keadaan “sudah aman”. Ia adalah kebiasaan untuk mengetahui risiko, memilih kontrol, memantau perubahan, dan siap merespons saat sesuatu tetap lolos.

Kalau vendor atau tim internal hanya bisa menjawab dengan nama firewall dan antivirus, gali lebih jauh. Minta contoh bagaimana hak akses diuji, bagaimana secret disimpan, kapan dependency terakhir diaudit, dan bagaimana log benar-benar diperhatikan. Jawaban yang konkret jauh lebih berharga daripada label “secure” di proposal.

Daftar dan penjelasan resminya tersedia di OWASP Top 10:2025.