OWASP (, do 2023 roku ) – międzynarodowa społeczność i fundacja non-profit działająca na rzecz poprawy bezpieczeństwa oprogramowania, w szczególności aplikacji internetowych. Publikuje bezpłatne, otwarte materiały: standardy, poradniki, narzędzia i dokumentację, a jej najbardziej znanym opracowaniem jest ranking najpoważniejszych zagrożeń bezpieczeństwa aplikacji OWASP Top 10.
Historia Projekt zainicjował we wrześniu 2001 roku ; sam projekt wystartował 1 grudnia 2001 roku. Wspierająca projekt fundacja OWASP Foundation została zarejestrowana 21 kwietnia 2004 roku w Stanach Zjednoczonych jako organizacja non-profit o statusie 501(c)(3). W Europie organizacja działa jako zarejestrowane w Belgii stowarzyszenie OWASP Europe VZW. W początkowych latach pracom społeczności przewodniczył Jeff Williams.
W lutym 2023 roku zarząd fundacji zmienił rozwinięcie nazwy z na , zachowując akronim OWASP. W maju 2023 roku uruchomiono projekt OWASP Top 10 for LLM Application Security Project, dokumentujący najpoważniejsze ryzyka związane z dużymi modelami językowymi; obecnie działa on pod nazwą OWASP Gen AI Security Project.
OWASP Top 10 Najbardziej rozpoznawalną publikacją organizacji jest OWASP Top 10 – aktualizowany co kilka lat przegląd dziesięciu najpoważniejszych klas ryzyk bezpieczeństwa aplikacji internetowych, oparty na danych z badań rzeczywistych aplikacji oraz ankietach branżowych. Pierwszą edycję opublikowano w 2003 roku, kolejne w latach 2004, 2007, 2010, 2013, 2017 i 2021; ósma edycja, OWASP Top 10:2025, została zaprezentowana w listopadzie 2025 roku na konferencji OWASP Global AppSec w Waszyngtonie i formalnie opublikowana na początku 2026 roku.
Edycja 2025 obejmuje następujące kategorie ryzyk: błędy kontroli dostępu (), błędna konfiguracja zabezpieczeń (), awarie łańcucha dostaw oprogramowania (), błędy kryptograficzne (), wstrzykiwanie (, m.in. SQL injection i cross-site scripting), niebezpieczny projekt (), błędy uwierzytelniania (), naruszenia integralności oprogramowania lub danych (), błędy rejestrowania zdarzeń i alarmowania (), niewłaściwa obsługa sytuacji wyjątkowych ().
Lista pomyślana jest jako dokument budujący świadomość zagrożeń i punkt wyjścia do zmiany kultury wytwarzania oprogramowania, a nie wyczerpujący katalog podatności. Do OWASP Top 10 odwołują się liczne standardy i instytucje, m.in. standard bezpieczeństwa kart płatniczych PCI DSS.
Pozostałe projekty Prace organizacji podzielone są na kilkaset otwartych projektów o różnym stopniu dojrzałości; kilkanaście najdojrzalszych ma status projektów flagowych (). Należą do nich m.in.: Application Security Verification Standard (ASVS) – standard wymagań bezpieczeństwa dla aplikacji i ich weryfikacji, Web Security Testing Guide (WSTG) – przewodnik po testowaniu bezpieczeństwa aplikacji internetowych, wykorzystywany m.in. w testach penetracyjnych, Software Assurance Maturity Model (SAMM) – model oceny dojrzałości procesów bezpiecznego wytwarzania oprogramowania, Cheat Sheet Series – zbiór zwięzłych zestawień dobrych praktyk bezpiecznego programowania, Juice Shop – celowo podatna aplikacja do nauki i demonstracji ataków, Dependency-Check i Dependency-Track – narzędzia do wykrywania znanych podatności w zależnościach oprogramowania, CycloneDX – standard opisu komponentów oprogramowania (), ModSecurity Core Rule Set (CRS) – zestaw reguł filtrowania dla zapór aplikacyjnych.
Jednym z najpopularniejszych narzędzi rozwijanych przez lata pod egidą OWASP był skaner bezpieczeństwa ZAP (), który powstał w 2010 roku i wkrótce potem został przyjęty jako projekt OWASP. W 2023 roku jego twórcy przenieśli projekt do Linux Foundation (inicjatywa Software Security Project), a we wrześniu 2024 roku dołączyli do firmy Checkmarx, która została głównym sponsorem narzędzia.
Struktura i działalność Fundacja OWASP koordynuje pracę wolontariuszy skupionych w ponad 250 lokalnych oddziałach () na całym świecie i organizuje konferencje z serii Global AppSec. Polski oddział powstał w czerwcu 2007 roku, a jego założycielami byli Andrzej Targosz i Robert Pająk; spotkania organizowane są m.in. w Warszawie, Krakowie, Poznaniu, Wrocławiu, na Śląsku i w Trójmieście. W 2014 roku organizacja otrzymała wyróżnienie „Editor's Choice” magazynu branżowego „SC Magazine”.
Zobacz też White hat Test penetracyjny
Przypisy
Linki zewnętrzne Strona oficjalna
Kategoria:Organizacje non-profit Kategoria:Organizacje informatyczne Kategoria:Bezpieczeństwo komputerowe