A régua de segurança de aplicação que o seu cliente e o seu pentester reconhecem

A pergunta aparece bastante e a resposta ajuda a economizar dinheiro. A fundação não certifica fornecedor, verificador nem software, e diz isso no próprio texto do ASVS, o padrão de verificação de segurança de aplicação. Ela vai além e recomenda cautela com selo de terceiro que se apresente como certificação OWASP oficial, porque isso existe no mercado e não tem respaldo. O que o material do OWASP entrega é melhor para o seu caso do que um selo: uma régua pública que o seu cliente e o seu pentester reconhecem, com veredito requisito a requisito. E quando a exigência for mesmo um documento emitido por organismo acreditado, quem responde é a ISO 27001 ou o SOC 2.

O Top 10 é um documento de conscientização: lista as dez categorias de risco mais críticas para orientar prioridade e conversa. Ele não foi escrito para servir de plano de teste, e a própria fundação diz isso. O ASVS é a lista de requisitos, com veredito de passa ou não passa em cada item e três níveis de exigência. Na prática, o Top 10 explica por que testar e o ASVS define o que precisa estar atendido para alguém afirmar que a aplicação foi verificada.

Um relatório de verificação com escopo declarado, nível de ASVS pretendido, resultado por requisito e evidência anexada, incluindo os requisitos que não se aplicam ao seu produto e a justificativa. Vale conferir o que o cliente pediu de fato: quase sempre ele quer saber se você testa aplicação com método e se corrige o que encontra. Relatório com escopo escrito responde isso melhor do que resposta de memória, e serve igual para o próximo cliente que perguntar.

O material é público e gratuito mesmo, e recomendamos baixar. O texto sai de graça. Custa percorrer cerca de 350 requisitos contra a sua aplicação sem se enganar, e autoavaliação é onde isso quebra: quem escreveu o código conhece a intenção do controle e para de enxergar a lacuna. Custa também testar autorização com credenciais de perfis diferentes, que é onde mora a categoria número um da lista, e fazer isso enquanto o time entrega roadmap. Se a sua empresa tem folga de gente para isso, faça, e conte conosco só na verificação.

Cobre uma parte, e a parte mais mecânica. Ferramentas de análise estática e dinâmica bem configuradas encontram falha de codificação e de configuração, e valem o investimento no pipeline. O texto do ASVS é direto ao dizer que rodar ferramenta de prateleira não equivale a verificação: controle de acesso, regra de negócio e uso indevido de função exigem alguém que entenda o que a aplicação deveria permitir. Automação sem ajuste ainda produz ruído suficiente para esconder o achado que importa.

Cobre a aplicação em volta, que continua tendo autenticação, autorização, registro e configuração para verificar. O comportamento do modelo fica fora, e é o que o Top 10 para aplicações com modelo de linguagem organiza, na edição 2025: injeção de prompt, vazamento de informação sensível, envenenamento de dado e de modelo, tratamento inadequado da saída, agência excessiva de ferramenta e consumo ilimitado, entre outros. Em produto com IA generativa, os dois escopos precisam existir.

O teste mede o produto num instante. O SAMM mede o processo que produz o produto, em cinco funções de negócio e quinze práticas, com três níveis de maturidade em cada. Ele responde por que a mesma classe de falha voltou no trimestre seguinte, o que costuma ter causa em modelagem de ameaça ausente, treinamento inexistente ou revisão de código sem critério de segurança. Empresa que testa bem e não mede o processo repete o mesmo relatório todo ano.