OWASP (Open Worldwide Application Security Project, do 2023 roku Open Web Application Security Project) – międzynarodowa społeczność i fundacja non-profit działająca na rzecz poprawy bezpieczeństwa oprogramowania, w szczególności aplikacji internetowych. Publikuje bezpłatne, otwarte materiały: standardy, poradniki, narzędzia i dokumentację, a jej najbardziej znanym opracowaniem jest ranking najpoważniejszych zagrożeń bezpieczeństwa aplikacji OWASP Top 10.
Historia
Projekt zainicjował we wrześniu 2001 roku Mark Curphey(inne języki); sam projekt wystartował 1 grudnia 2001 roku. Wspierająca projekt fundacja OWASP Foundation została zarejestrowana 21 kwietnia 2004 roku w Stanach Zjednoczonych jako organizacja non-profit o statusie 501(c)(3). W Europie organizacja działa jako zarejestrowane w Belgii stowarzyszenie OWASP Europe VZW. W początkowych latach pracom społeczności przewodniczył Jeff Williams.
W lutym 2023 roku zarząd fundacji zmienił rozwinięcie nazwy z Open Web Application Security Project na Open Worldwide Application Security Project, zachowując akronim OWASP. W maju 2023 roku uruchomiono projekt OWASP Top 10 for LLM Application Security Project, dokumentujący najpoważniejsze ryzyka związane z dużymi modelami językowymi; obecnie działa on pod nazwą OWASP Gen AI Security Project.
OWASP Top 10
Najbardziej rozpoznawalną publikacją organizacji jest OWASP Top 10 – aktualizowany co kilka lat przegląd dziesięciu najpoważniejszych klas ryzyk bezpieczeństwa aplikacji internetowych, oparty na danych z badań rzeczywistych aplikacji oraz ankietach branżowych. Pierwszą edycję opublikowano w 2003 roku, kolejne w latach 2004, 2007, 2010, 2013, 2017 i 2021; ósma edycja, OWASP Top 10:2025, została zaprezentowana w listopadzie 2025 roku na konferencji OWASP Global AppSec w Waszyngtonie i formalnie opublikowana na początku 2026 roku.
naruszenia integralności oprogramowania lub danych (Software or Data Integrity Failures),
błędy rejestrowania zdarzeń i alarmowania (Security Logging and Alerting Failures),
niewłaściwa obsługa sytuacji wyjątkowych (Mishandling of Exceptional Conditions).
Lista pomyślana jest jako dokument budujący świadomość zagrożeń i punkt wyjścia do zmiany kultury wytwarzania oprogramowania, a nie wyczerpujący katalog podatności. Do OWASP Top 10 odwołują się liczne standardy i instytucje, m.in. standard bezpieczeństwa kart płatniczych PCI DSS.
Pozostałe projekty
Prace organizacji podzielone są na kilkaset otwartych projektów o różnym stopniu dojrzałości; kilkanaście najdojrzalszych ma status projektów flagowych (flagship projects). Należą do nich m.in.:
Application Security Verification Standard (ASVS) – standard wymagań bezpieczeństwa dla aplikacji i ich weryfikacji,
Web Security Testing Guide (WSTG) – przewodnik po testowaniu bezpieczeństwa aplikacji internetowych, wykorzystywany m.in. w testach penetracyjnych,
Software Assurance Maturity Model (SAMM) – model oceny dojrzałości procesów bezpiecznego wytwarzania oprogramowania,
Cheat Sheet Series – zbiór zwięzłych zestawień dobrych praktyk bezpiecznego programowania,
Juice Shop – celowo podatna aplikacja do nauki i demonstracji ataków,
Dependency-Check i Dependency-Track – narzędzia do wykrywania znanych podatności w zależnościach oprogramowania,
CycloneDX – standard opisu komponentów oprogramowania (software bill of materials),
ModSecurity Core Rule Set (CRS) – zestaw reguł filtrowania dla zapór aplikacyjnych.
Jednym z najpopularniejszych narzędzi rozwijanych przez lata pod egidą OWASP był skaner bezpieczeństwa ZAP (Zed Attack Proxy), który powstał w 2010 roku i wkrótce potem został przyjęty jako projekt OWASP. W 2023 roku jego twórcy przenieśli projekt do Linux Foundation (inicjatywa Software Security Project), a we wrześniu 2024 roku dołączyli do firmy Checkmarx, która została głównym sponsorem narzędzia.
Struktura i działalność
Fundacja OWASP koordynuje pracę wolontariuszy skupionych w ponad 250 lokalnych oddziałach (chapters) na całym świecie i organizuje konferencje z serii Global AppSec. Polski oddział powstał w czerwcu 2007 roku, a jego założycielami byli Andrzej Targosz i Robert Pająk; spotkania organizowane są m.in. w Warszawie, Krakowie, Poznaniu, Wrocławiu, na Śląsku i w Trójmieście. W 2014 roku organizacja otrzymała wyróżnienie „Editor's Choice” magazynu branżowego „SC Magazine”.
