# De OWASP Top 10 voor je developmentteam

URL: https://brainpowergroup.eu/nl/blog/owasp-top-10-voor-je-developmentteam
Datum: 2026-09-09
Door: Erik Schoorl, Brainpower Group

De OWASP Top 10:2025 voegt supply chain en foutafhandeling toe. Gebruik de lijst voor je reviewchecklist en tests, want als bewijs van veiligheid is hij te smal.

De OWASP Top 10 is een lijst van de tien belangrijkste risicocategorieën voor webapplicaties. De huidige editie is de Top 10:2025, gepresenteerd in november 2025 en de eerste nieuwe versie sinds 2021. OWASP noemt de lijst zelf een awareness document. Je team krijgt er een gedeelde taal mee en een basis voor de reviewchecklist en de tests, maar als bewijs dat je applicatie veilig is, is de lijst te smal.

## De lijst van 2025

| Nr. | Categorie | Waar je het in je code ziet |
|---|---|---|
| A01 | Broken Access Control | een gebruiker kan andermans data zien of wijzigen; SSRF valt hier nu ook onder |
| A02 | Security Misconfiguration | debugmodus in productie, standaardwachtwoorden, een openbare storage bucket |
| A03 | Software Supply Chain Failures | een kwetsbare of gekaapte dependency, een slecht beveiligde buildpipeline |
| A04 | Cryptographic Failures | gevoelige data onversleuteld opgeslagen, verouderde of zelfgebouwde crypto |
| A05 | Injection | SQL, shellcommando's of HTML die uit gebruikersinvoer worden opgebouwd |
| A06 | Insecure Design | een controle die in het ontwerp ontbreekt, zoals geen limiet op pogingen bij een wachtwoordreset |
| A07 | Authentication Failures | zwakke wachtwoordregels, geen MFA, sessies die niet verlopen |
| A08 | Software or Data Integrity Failures | updates of data die je gebruikt zonder de herkomst te controleren |
| A09 | Security Logging & Alerting Failures | een aanval wordt niet gelogd, of niemand krijgt een melding |
| A10 | Mishandling of Exceptional Conditions | een fout waarbij de applicatie "open" faalt en toch toegang geeft |

## Wat er sinds 2021 veranderde

Er zijn twee nieuwe categorieën bijgekomen en er is er één samengevoegd. Server-Side Request Forgery, in 2021 nog een eigen categorie, is opgegaan in A01. Software Supply Chain Failures is een uitbreiding van de oude categorie Vulnerable and Outdated Components en gaat over het hele proces van bouwen, distribueren en updaten van software. Mishandling of Exceptional Conditions is helemaal nieuw. Security Misconfiguration steeg van plek 5 naar plek 2.

Ik lees daarin dat configuratie en de supply chain net zoveel aandacht verdienen als je eigen code. Hoe aanvallen via package registries verlopen, staat in [supply chain-aanvallen op npm en PyPI](/nl/blog/supply-chain-aanvallen-op-npm-en-pypi).

## Hoe OWASP de lijst zelf ziet

Wie de Top 10 als standaard voor code of tests gebruikt, heeft volgens OWASP een absoluut minimum en een startpunt in handen. Geen tool kan de risico's uit de lijst volledig opsporen of testen, en OWASP raadt af om te claimen dat je de hele Top 10 afdekt.

Voor een standaard waar je tegen kunt toetsen, verwijst OWASP naar de Application Security Verification Standard (ASVS), nu versie 5.0. Mijn advies is om de Top 10 te gebruiken om te bepalen waar je team op let, en de ASVS om vast te leggen aan welke eisen je applicatie voldoet.

## In code review

Vertaal de categorieën naar vragen die een reviewer bij een pull request stelt. Kies alleen de vragen die bij jouw applicatie horen, want tien vaste vragen bij elke wijziging leest na een week niemand meer. Bijvoorbeeld:

- Controleert elke nieuwe route of de ingelogde gebruiker bij dit specifieke object mag? (A01)
- Gaat alle invoer via geparametriseerde queries of de escaping van het framework? (A05)
- Komt er een nieuwe dependency bij, en wie onderhoudt die? (A03)
- Wat gebeurt er als deze externe call faalt of te lang duurt? (A10)
- Wordt een geweigerde toegang of een mislukte login gelogd? (A09)

Zet de vragen in de template voor pull requests. Hoe je reviews in een remote team verder inricht, staat in [code review op afstand](/nl/blog/code-review-op-afstand).

## In tests en de pipeline

Een deel van de lijst kun je automatisch controleren. Een dependency-scan vangt bekende kwetsbaarheden uit A03, statische analyse vindt veel injection-patronen en een secret-scan houdt sleutels uit de repository. Een scan van de draaiende testomgeving vindt misconfiguratie, zoals ontbrekende security-headers.

Broken access control vindt een scanner zelden, want die weet niet wie bij welke data mag. OWASP raadt daarom aan om toegangscontrole mee te nemen in je unit- en integratietests. Schrijf autorisatietests per rol: gebruiker A kan de factuur van gebruiker B niet openen, en een gewone gebruiker kan geen beheerendpoint aanroepen. Zulke tests zijn saai om te schrijven en dekken de categorie die bovenaan de lijst staat.

Test ook de foutpaden, zoals een database die wegvalt of een externe dienst die onzin terugstuurt. Voor A10 moet je applicatie in die gevallen de toegang weigeren.

## In refinement en teamoverleg

Bespreek één categorie per keer, met een voorbeeld uit je eigen codebase. Neem bij nieuwe features in de refinement tien minuten voor de vraag wat er mis kan gaan. Daarmee pak je A06 aan, want een ontwerpfout los je niet op met een betere implementatie.

Soms is de beste maatregel om iets niet zelf te doen. Bij [KiKa](/nl/cases/kika) lopen betalingen via PCI-DSS-gecertificeerde providers en slaat het platform zelf geen kaartgegevens op, dus die kunnen daar ook niet uitlekken.

Onze developers werken dagelijks met AI-tools zoals Claude Code. Gegenereerde code gaat door dezelfde review en dezelfde scans als andere code, en de developer die hem indient, moet elke regel kunnen uitleggen.

## Bronnen

- [OWASP Top 10:2025, Introduction](https://top10.owasp.org/2025/0x00_2025-Introduction/)
- [OWASP Top 10:2025, Establishing a Modern Application Security Program](https://top10.owasp.org/2025/0x03_2025-Establishing_a_Modern_Application_Security_Program/)
- [OWASP Top 10:2025, A01 Broken Access Control](https://top10.owasp.org/2025/A01_2025-Broken_Access_Control/)
- [OWASP Top 10:2025, A10 Mishandling of Exceptional Conditions](https://top10.owasp.org/2025/A10_2025-Mishandling_of_Exceptional_Conditions/)
- [OWASP Application Security Verification Standard](https://owasp.org/www-project-application-security-verification-standard/)
- [The Register: OWASP Top 10 for 2025](https://www.theregister.com/2025/11/11/new_owasp_top_ten_broken/)

## Veelgestelde vragen

**Wat is de nieuwste versie van de OWASP Top 10?**

De OWASP Top 10:2025, gepresenteerd in november 2025. Het is de eerste nieuwe editie sinds 2021, met twee nieuwe categorieën: Software Supply Chain Failures en Mishandling of Exceptional Conditions.

**Is de OWASP Top 10 een securitystandaard?**

OWASP noemt de lijst een awareness document, en een absoluut minimum als je hem toch als standaard voor code of tests gebruikt. Voor een toetsbare standaard verwijst OWASP naar de Application Security Verification Standard (ASVS).

**Hoe gebruik je de OWASP Top 10 in code review?**

Vertaal de categorieën die voor jouw applicatie gelden naar concrete vragen in je reviewchecklist, zoals: controleert dit endpoint of de gebruiker bij dit object mag? Wat een tool kan vinden, laat je in de pipeline controleren.

---

Bron: https://brainpowergroup.eu/nl/blog/owasp-top-10-voor-je-developmentteam
Brainpower Group, contact: https://brainpowergroup.eu/nl/contact, hello@brainpowergroup.eu