OWASP Top 10 (2025): de tien grootste risico’s voor webapplicaties

De OWASP Top 10 is de lijst met de tien grootste beveiligingsrisico’s voor webapplicaties, opgesteld door de stichting OWASP. De huidige editie is die van 2025. Falende toegangscontrole staat op plaats één, en twee categorieën zijn nieuw: zwakke plekken in de softwareketen en onveilige foutafhandeling.

OWASP baseert de rangorde op testgegevens van ruim 2,8 miljoen applicaties. Testers gebruiken de lijst als kapstok bij een penetratietest, ontwikkelaars als controlelijst tijdens het bouwen.

Laatst gecontroleerd op 5 oktober 2026.

De OWASP Top 10 van 2025 in één tabel

De tabel volgt de rangorde van OWASP. De laatste kolom toont de plaats van dezelfde categorie in de editie van 2021.

De tien risico’s met voorbeeld en maatregel

Elke categorie bundelt verwante zwakke plekken, bij OWASP aangeduid met CWE-nummers. Per categorie lees je wat er misgaat, hoe dat er in de praktijk uitziet en welke maatregel het risico verkleint.

A01 Broken Access Control: falende toegangscontrole

De applicatie controleert te weinig wat een ingelogde gebruiker mag. Een bekend voorbeeld: je wijzigt het klantnummer in de URL en ziet de factuur van een ander. Volgens OWASP had elke geteste applicatie een vorm van deze zwakke plek. Server-side request forgery (SSRF), in 2021 een eigen categorie, valt er sinds 2025 onder.

Maatregel: weiger toegang standaard en controleer de rechten op de server, bij elk verzoek opnieuw.

A02 Security Misconfiguration: onveilige instellingen

De software zelf is in orde, de instellingen staan te ruim. Denk aan een standaardwachtwoord dat nooit is gewijzigd, een open opslagbucket in de cloud, ontbrekende security headers of een foutmelding die de opbouw van de database prijsgeeft. De categorie steeg van plaats vijf naar twee, omdat een groter deel van het gedrag van applicaties in configuratie is vastgelegd.

Maatregel: een vaste hardeningprocedure voor elke omgeving en een geautomatiseerde controle op afwijkingen.

A03 Software Supply Chain Failures: zwakke plekken in de softwareketen

Een applicatie draait voor een groot deel op code van anderen: bibliotheken, plugins, containers en de bouwstraat waarmee je software uitrolt. Raakt één schakel besmet of veroudert die, dan is jouw applicatie kwetsbaar. OWASP noemt de aanval via SolarWinds en de npm-worm Shai-Hulud uit 2025 als voorbeelden. In de enquête onder vakmensen zette de helft van de deelnemers dit risico op één.

Maatregel: houd een lijst bij van alle componenten (een SBOM) en volg meldingen over kwetsbaarheden met vulnerability management.

A04 Cryptographic Failures: zwakke of ontbrekende versleuteling

Gevoelige gegevens reizen of staan onversleuteld, of de gebruikte methode is verouderd. Voorbeelden zijn wachtwoorden die met MD5 zijn opgeslagen, een verbinding zonder TLS en een sleutel die in de broncode staat.

Maatregel: versleutel gegevens onderweg en in opslag, sla wachtwoorden op met een daarvoor bedoeld algoritme zoals Argon2 of bcrypt en beheer sleutels buiten de code.

A05 Injection: invoer die als opdracht wordt uitgevoerd

De applicatie geeft invoer van een gebruiker ongecontroleerd door aan een database, een besturingssysteem of de browser van een andere bezoeker. SQL-injectie en cross-site scripting (XSS) zijn de bekendste vormen. XSS komt vaak voor en richt per geval beperkte schade aan. SQL-injectie komt minder vaak voor en legt in één keer een hele database open.

Maatregel: geparametriseerde query’s, validatie van invoer aan de serverkant en het coderen van uitvoer.

A06 Insecure Design: onveilig ontwerp

De zwakke plek zit in het ontwerp, en nette code herstelt dat niet. Een voorbeeld is wachtwoordherstel via een vraag als de naam van je eerste huisdier, of een webwinkel zonder grens aan het aantal bestellingen per klant. OWASP ziet verbetering sinds 2021, doordat meer teams dreigingen in kaart brengen voordat ze bouwen.

Maatregel: threat modeling tijdens het ontwerp en het hergebruik van beproefde ontwerppatronen.

A07 Authentication Failures: zwakke plekken bij inloggen en sessies

Een aanvaller neemt de identiteit van een gebruiker over. Dat lukt als de applicatie onbeperkt inlogpogingen toestaat, gelekte wachtwoorden accepteert of een sessie na het uitloggen geldig laat.

Maatregel: meerfactorauthenticatie, een rem op herhaalde pogingen en een controle van nieuwe wachtwoorden tegen lijsten met gelekte wachtwoorden. Meer daarover staat in het artikel over een wachtwoordbeleid.

A08 Software or Data Integrity Failures: ongecontroleerde code en gegevens

De applicatie vertrouwt code of gegevens zonder de herkomst te controleren. Een voorbeeld is een update die zonder digitale handtekening wordt geïnstalleerd, of een script dat vanaf een externe server laadt zonder controle op wijzigingen. Het verschil met A03: daar gaat het om de keten van leveranciers, hier om de controle binnen je eigen applicatie.

Maatregel: digitale handtekeningen op updates en een review op elke wijziging in code en configuratie.

A09 Security Logging and Alerting Failures: aanvallen die niemand ziet

Inlogpogingen, geweigerde toegang en fouten worden niet vastgelegd, of niemand krijgt er een melding van. Een aanvaller blijft daardoor weken binnen zonder dat iemand ingrijpt. OWASP verving ‘monitoring’ in de naam door ‘alerting’: een logboek zonder melding helpt weinig bij het ontdekken van een incident.

Maatregel: leg beveiligingsgebeurtenissen centraal vast, bijvoorbeeld in een SIEM, en koppel er meldingen met opvolging aan.

A10 Mishandling of Exceptional Conditions: onveilige foutafhandeling

Deze categorie is nieuw in 2025 en gaat over applicaties die bij een fout of onverwachte situatie onveilig reageren. Een betaling die halverwege afbreekt en toch deels wordt verwerkt. Een foutmelding die interne gegevens toont. Een controle die bij een storing toegang verleent, in vaktaal ‘failing open’.

Maatregel: vang fouten op waar ze ontstaan, draai een afgebroken transactie volledig terug en weiger toegang zodra een controle uitvalt.

Wat er veranderde ten opzichte van de OWASP Top 10 van 2021

De editie van 2025 telt twee nieuwe categorieën en één samenvoeging. Instellingen en de softwareketen stegen naar plaats twee en drie. Versleuteling, injectie en ontwerp zakten elk twee plaatsen.

• Nieuw op drie: Software Supply Chain Failures, een verbreding van Vulnerable and Outdated Components uit 2021. De categorie omvat nu ook besmette pakketten en gemanipuleerde bouwstraten.
• Nieuw op tien: Mishandling of Exceptional Conditions, met 24 soorten zwakke plekken rond foutafhandeling.
• Samengevoegd: Server-Side Request Forgery, in 2021 op plaats tien, valt nu onder Broken Access Control.
• Hernoemd: A07 heet Authentication Failures, zonder ‘Identification’. In A09 maakte ‘Monitoring’ plaats voor ‘Alerting’.

Drie risico’s haalden de lijst net niet en staan bij OWASP onder ‘Next Steps’: gebrek aan veerkracht van applicaties, fouten in geheugenbeheer en te veel vertrouwen in code die door AI is geschreven.

Hoe OWASP de lijst samenstelt

OWASP staat voor Open Worldwide Application Security Project, een stichting zonder winstoogmerk. De eerste Top 10 verscheen in 2003, de editie van 2025 is de achtste. OWASP presenteerde haar in november 2025; de definitieve versie volgde in januari 2026.

Voor deze editie leverden bedrijven testgegevens aan van ruim 2,8 miljoen applicaties. OWASP analyseerde 589 soorten zwakke plekken (CWE’s) en verdeelde er 248 over de tien categorieën. Acht categorieën volgen uit de gegevens. Twee komen uit een enquête onder vakmensen, omdat testgegevens achterlopen op nieuwe aanvalstechnieken.

De rangorde telt per applicatie of een zwakke plek voorkomt en laat buiten beschouwing hoe vaak. Vier of vierduizend keer dezelfde zwakke plek in één applicatie telt even zwaar.

De OWASP Top 10 bij een pentest

OWASP noemt de Top 10 een document voor bewustwording. Het is geen testmethode en geen norm waarop je certificeert. Een offerte die volstaat met de zin ‘wij testen op de OWASP Top 10’ zegt daarom weinig over de diepgang. Vraag bij een pentest van een website naar twee andere documenten van OWASP.

• Web Security Testing Guide (WSTG): beschrijft per onderdeel van een webapplicatie welke tests een tester uitvoert.
• Application Security Verification Standard (ASVS): een lijst met controleerbare eisen in drie niveaus, bruikbaar als eis aan een leverancier of bouwer.

De testvorm bepaalt welke risico’s boven water komen. Falende toegangscontrole vindt een tester vooral met testaccounts per rol, zoals bij een grey box test. Het verschil lees je bij black box, grey box en white box. In het rapport staat per bevinding vaak de categorie uit de Top 10. Hoe je dat rapport leest, staat bij een pentestrapport lezen.

Vulnerability scanning dekt een deel van de lijst, zoals verouderde componenten en ontbrekende headers. Zwakke plekken in toegangscontrole en ontwerp vragen handwerk van een tester. Het gereedschap daarvoor, zoals Burp Suite en ZAP, staat bij pentest tools. Bureaus die webapplicaties testen, staan in het overzicht met pentest bedrijven.

Andere OWASP-lijsten voor API’s, AI en mobiele apps

Naast de lijst voor webapplicaties publiceert OWASP aparte lijsten. Draait jouw applicatie op een API of een taalmodel, neem de bijbehorende lijst dan op in de scope van de test.

• API Security Top 10 (2023): risico’s van API’s, met falende autorisatie op objectniveau op plaats één.
• Top 10 for LLM Applications (2025): risico’s van toepassingen met taalmodellen, met prompt injection op plaats één.
• Mobile Top 10 (2024): risico’s van mobiele apps, waaronder onveilige opslag van inloggegevens.

Veelgestelde vragen over de OWASP Top 10

Wat is de OWASP Top 10?

De OWASP Top 10 is een lijst van de tien grootste beveiligingsrisico’s voor webapplicaties. De stichting OWASP stelt haar samen op basis van testgegevens en een enquête onder vakmensen. Ontwikkelaars, testers en opdrachtgevers gebruiken de lijst als gedeelde taal voor risico’s in software.

Wat is de nieuwste versie van de OWASP Top 10?

De editie van 2025, de achtste sinds 2003. Ze volgt de editie van 2021 op. Tussen de laatste edities zat telkens drie tot vier jaar: 2013, 2017, 2021 en 2025.

Wat staat op nummer één in de OWASP Top 10?

Broken Access Control, in het Nederlands falende toegangscontrole. Een gebruiker komt dan bij gegevens of functies die voor een ander bedoeld zijn. De categorie stond ook in 2021 bovenaan.

Is de OWASP Top 10 verplicht?

Geen wet schrijft de lijst voor. Opdrachtgevers nemen haar wel op in inkoopeisen en contracten, en pentestbureaus gebruiken haar als indeling in het rapport. Zoek je een toetsbare eis, verwijs dan naar de ASVS van OWASP.

Wat is het verschil tussen de OWASP Top 10 en de WSTG?

De Top 10 benoemt de tien grootste risico’s. De Web Security Testing Guide (WSTG) beschrijft hoe een tester een webapplicatie stap voor stap onderzoekt, ook op zwakke plekken buiten de Top 10. Bij een pentest is de WSTG het werkdocument en de Top 10 de samenvatting voor de lezer.

Bronnen

• OWASP, Top 10:2025, Introduction. Geraadpleegd op 5 oktober 2026.
• OWASP, Top 10:2025, de categoriepagina’s A01, A02, A03 en A10. Geraadpleegd op 5 oktober 2026.
• OWASP, Top 10:2025, Next Steps. Geraadpleegd op 5 oktober 2026.
• OWASP, Web Security Testing Guide en Application Security Verification Standard. Geraadpleegd op 5 oktober 2026.
• OWASP, API Security Top 10 2023, Top 10 for LLM Applications 2025 en Mobile Top 10. Geraadpleegd op 5 oktober 2026.
• Parasoft, OWASP Top 10:2025: The Latest List of Web Application Vulnerabilities Explained, voor de data van presentatie en definitieve versie. Geraadpleegd op 5 oktober 2026.