Tilbud på test af en webshop eller kundeportal lover tit, at løsningen bliver testet efter OWASP Top 10. Det lyder dækkende, men listen er skrevet for at skabe opmærksomhed om de vigtigste risikoområder i webapplikationer, ikke for at beskrive, hvad en test skal omfatte.
Svaret er, at listen er nyttig som fælles sprog mellem køber, udvikler og tester, og som en kontrol af, at de centrale områder er tænkt med. Den kan ikke stå alene som opgavebeskrivelse. Hvad testen skal dække i jeres løsning, skal stadig skrives ned: funktioner, roller, integrationer og de spørgsmål, I vil have besvaret.
Hvad listen er
OWASP er et åbent fællesskab, der udgiver vejledninger og projekter om sikkerhed i software. OWASP Top 10 er et af de mest kendte. OWASP beskriver det som et dokument, der skal skabe bevidsthed hos udviklere og andre om de mest kritiske sikkerhedsrisici i webapplikationer, bygget på bred faglig enighed.
Listen består af ti kategorier. Hver kategori samler mange beslægtede svagheder under én overskrift, fx fejl i adgangskontrol eller usikker opsætning. Listen bliver opdateret med års mellemrum, og kategorierne og rækkefølgen kan ændre sig fra udgave til udgave. Tjek derfor altid, hvilken udgave der henvises til.
Et fælles sprog på tværs af roller
Listens største styrke for en køber er, at den er kendt af mange. Når projektlederen, softwarehuset og testeren taler om kundeportalen, kan kategorierne bruges som fælles overskrifter. Det gør det lettere at spørge, om et område er tænkt med, uden at kunne de tekniske detaljer.
Listen kan også bruges tidligt i et projekt. Hvis webshoppen er under udvikling, kan I spørge leverandøren, hvordan kategorierne er håndteret i løsningen. Svaret siger noget om, hvor modent arbejdet med sikkerhed er, længe før en test bliver bestilt.
Endelig kan listen hjælpe ledelsen med at forstå en rapport. Når fund er knyttet til en kendt kategori, bliver det lettere at se, om de handler om samme type problem.
Listen kan også indgå i aftalen med softwarehuset. Et krav om, at leverandøren har forholdt sig til kategorierne i den aktuelle udgave, giver et minimum, som begge parter kan henvise til. Kravet bør dog suppleres med jeres egne krav til roller, data og funktioner, fordi listen ikke kender jeres forretning. Skriv også, hvordan leverandøren skal dokumentere arbejdet, fx gennem en beskrivelse af de valg, der er truffet, eller en uafhængig test før lancering. Et krav, der ikke kan efterprøves, er svært at bruge, hvis der senere opstår uenighed.
Hvorfor listen ikke er en testplan
Ti kategorier kan ikke beskrive alt, der kan gå galt i en konkret løsning. Vigtige svagheder i en kundeportal kan handle om forretningslogik: kan en kunde ændre en pris, se en anden kundes faktura eller springe et godkendelsestrin over? Den slags kan kun afprøves, når testeren forstår, hvordan jeres løsning skal virke.
Listen fortæller heller ikke, hvor grundigt hvert område skal undersøges, hvilke roller der skal indgå, eller hvilke integrationer til ERP-systemet der hører med. Det er netop de valg, der gør en bestilling præcis. Hvad en bestilling af test af webapplikationer bør indeholde, er gennemgået i → Penetrationstest af webapplikationer
Til selve testarbejdet har OWASP en anden og langt mere omfattende vejledning, Web Security Testing Guide. Den beskriver testområder i detaljer. Også her gælder det, at en henvisning til guiden ikke betyder, at alle dele er med.
Når et tilbud nævner OWASP Top 10
Se en henvisning til listen som en invitation til at spørge. Hvad betyder det i praksis for jeres løsning? Bliver hver kategori afprøvet manuelt, eller bygger dækningen på automatiske kontroller? Hvordan behandles forretningslogik, som ikke passer ind i en enkelt kategori? → Automatisk eller manuel penetrationstest
Hvis to leverandører begge skriver, at de tester efter listen, siger det ikke, at de tilbyder det samme. Den ene kan have afsat tid til at forstå kundeportalens roller. Den anden kan have planlagt en hurtig gennemgang af kategorierne. Sammenlign derfor beskrivelsen af det konkrete arbejde, ikke henvisningen. → Sammenlign tilbud på penetrationstest
Listen i rapporten
En rapport kan med fordel knytte hvert fund til en kategori på listen. Det gør det lettere at se mønstre og at drøfte fundene med udviklerne. Men et fund er ikke vigtigere, fordi det hører til en kategori højt på listen. Alvoren afhænger af fundet selv og af systemets betydning for jer.
Vær også varsom med en oversigt, der viser alle ti kategorier som grønne. Den kan give indtryk af, at løsningen er i orden på alle områder, selv om nogle kun blev undersøgt overfladisk, eller slet ikke var relevante. Bed rapporten forklare dækningen i tekst, så det fremgår, hvilke kategorier der blev afprøvet grundigt, hvilke der kun blev berørt, og hvilke der ikke var relevante for løsningen. Hvordan rapporten læses i øvrigt, er beskrevet i → Sådan læser I en pentestrapport
Flere lister og en testguide
OWASP udgiver også andre lister. OWASP API Security har sin egen liste over risici i API’er, fordi de har andre svagheder end almindelige websider. Har jeres løsning et API, som partnere eller en app bruger, er det relevant at spørge, om den del er dækket. → API-pentest
Listerne er ikke standarder, der kan certificeres efter, og de stiller ikke krav til jer. Andre rammer, som krav fra kunder eller branchestandarder, kan dog henvise til dem. Oversigten over standarder for penetrationstest står i → Standarder for penetrationstest
Det skal I lade være med
- At bruge listen som opgavebeskrivelse · beskriv jeres egne funktioner, roller og spørgsmål.
- At sammenligne tilbud på henvisningen alene · det konkrete arbejde afgør dækningen.
- At glemme forretningslogikken · de vigtigste fejl i jeres løsning passer ikke altid ind i en kategori.
- At læse ti grønne felter som en godkendelse · dækningen skal forklares.
- At overse udgaven · kategorierne ændrer sig mellem udgaverne.
Hvad kan og ikke kan konkluderes
En test, der har afprøvet kategorierne på listen i jeres løsning, kan dokumentere, at de centrale risikoområder er undersøgt inden for den aftalte ramme. Det er et nyttigt grundlag for samtalen med udviklere og ledelse.
En henvisning til OWASP Top 10 kan ikke dokumentere, at løsningen er testet fuldt ud, eller at den er sikker. Listen er et udgangspunkt, ikke en grænse for, hvad der kan gå galt.
Tjekliste når listen nævnes
- ☐ Er det klart, hvilken udgave af listen der henvises til?
- ☐ Beskriver tilbuddet, hvordan hver kategori afprøves?
- ☐ Er forretningslogik og roller med ud over kategorierne?
- ☐ Er API’er og integrationer placeret i eller uden for scope?
- ☐ Forklarer rapporten dækningen i tekst og ikke kun med farver?
Kilder
- OWASP Top 10: listens formål som dokument til at skabe opmærksomhed om kritiske risici i webapplikationer.
- OWASP Web Security Testing Guide: detaljeret vejledning i testområder for webapplikationer.
- OWASP API Security: risici i API’er.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: WordPress-hjemmeside og pentest · Standarder for penetrationstest
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
