deardaniel/secdata-raw huggingface dataset:
OWASP API Security Top 10: 0x00 toc

# Daftar Isi

* [Daftar Isi](0x00-toc.md)  
* [Tentang OWASP](0x01-about-owasp.md)
* [Kata Pengantar](0x02-foreword.md)
* [Pendahuluan](0x03-introduction.md)
* [Catatan Rilis](0x04-release-notes.md)
* [Risiko Keamanan API](0x10-api-security-risks.md)
* [OWASP Top 10 Risiko Keamanan API - 2023](0x11-t10.md)
* [API1:2023 Kerusakan Otorisasi Tingkat Obyek](0xa1-broken-object-level-authorization.md)
* [API2:2023 Kerusakan Otentikasi](0xa2-broken-authentication.md)  
* [API3:2023 Kerusakan Otorisasi Tingkat Properti Obyek](0xa3-broken-object-property-level-authorization.md)
* [API4:2023 Konsumsi Sumber Daya yang Tidak Dibatasi](0xa4-unrestricted-resource-consumption.md)
* [API5:2023 Kerusakan Otorisasi Tingkat Fungsi](0xa5-broken-function-level-authorization.md)
* [API6:2023 Akses Tanpa Batas ke Aliran Bisnis Sensitif](0xa6-unrestricted-access-to-sensitive-business-flows.md) 
* [API7:2023 Pemalsuan Permintaan Sisi Server](0xa7-server-side-request-forgery.md)
* [API8:2023 Kesalahan Konfigurasi Keamanan](0xa8-security-misconfiguration.md)
* [API9:2023 Manajemen Inventaris yang Tidak Tepat](0xa9-improper-inventory-management.md)
* [API10:2023 Konsumsi API yang Tidak Aman](0xaa-unsafe-consumption-of-apis.md)
* [Apa Selanjutnya untuk Pengembang](0xb0-next-devs.md)
* [Apa Selanjutnya untuk DevSecOps](0xb1-next-devsecops.md)  
* [Metodologi dan Data](0xd0-about-data.md)
* [Ucapan Terima Kasih](0xd1-acknowledgments.md)
OWASP API Security Top 10: 0x01 about owasp

# Tentang OWASP

Open Worldwide Application Security Project (OWASP) adalah komunitas terbuka yang didedikasikan untuk memungkinkan organisasi mengembangkan, membeli, dan memelihara aplikasi dan API yang dapat dipercaya.

Di OWASP, Anda akan menemukan gratis dan terbuka:

* Alat dan standar keamanan aplikasi. 
* Buku lengkap tentang pengujian keamanan aplikasi, pengembangan kode yang aman, dan tinjauan kode yang aman.
* Presentasi dan [video][1].
* [Cheat sheet][2] berbagai topik umum.
* Kendali dan pustaka keamanan standar.
* [Chapter lokal di seluruh dunia][3]. 
* Penelitian mutakhir.
* [Beragam konferensi di seluruh dunia][4].
* [Mailing list][5] ([arsip][6]).

Pelajari lebih lanjut di: [https://www.owasp.org][7].

Semua alat, dokumen, video, presentasi, dan chapter OWASP gratis dan terbuka bagi siapa pun yang tertarik dalam meningkatkan keamanan aplikasi.

Kami menganjurkan melihat keamanan aplikasi sebagai masalah orang, proses, dan teknologi, karena pendekatan paling efektif terhadap keamanan aplikasi membutuhkan peningkatan di area ini.

OWASP adalah organisasi jenis baru. Kebebasan kami dari tekanan komersial memungkinkan kami untuk memberikan informasi praktis, tidak bias, dan hemat biaya tentang keamanan aplikasi. 

OWASP tidak berafiliasi dengan perusahaan teknologi mana pun, meskipun kami mendukung penggunaan teknologi keamanan komersial yang terinformasi. OWASP memproduksi banyak jenis materi dengan cara kolaboratif, transparan, dan terbuka. 

Yayasan OWASP adalah entitas nirlaba yang memastikan keberhasilan jangka panjang proyek. Hampir semua orang yang terkait dengan OWASP adalah relawan, termasuk dewan OWASP, pemimpin chapter, pemimpin proyek, dan anggota proyek. Kami mendukung penelitian keamanan inovatif dengan hibah dan infrastruktur.

Bergabunglah dengan kami!

## Hak Cipta dan Lisensi

![license](images/license.png) 

Hak Cipta © 2003-2023 Yayasan OWASP. Dokumen ini dirilis di bawah [Creative Commons Attribution Share-Alike 4.0 license][8]. Untuk setiap penggunaan kembali atau distribusi, Anda harus menjelaskan kepada orang lain ketentuan lisensi karya ini. 

[1]: https://www.youtube.com/user/OWASPGLOBAL 
[2]: https://cheatsheetseries.owasp.org/
[3]: https://owasp.org/chapters/
[4]: https://owasp.org/events/
[5]: https://groups.google.com/a/owasp.org/forum/#!overview
[6]: https://lists.owasp.org/mailman/listinfo
[7]: https://www.owasp.org
[8]: http://creativecommons.org/licenses/by-sa/4.0/
OWASP API Security Top 10: 0x00 notice

# اطلاعیه سپاسگزاری‌ها

این نسخه متنی OWASP API Security Top 10 است که به عنوان مرجعی برای نسخه رسمی منتشر شده، در قالب یک سند قابل حمل  (PDF) استفاده می شود.

مشارکت در پروژه مانند نظرات، اصلاحات یا ترجمه ها باید در اینجا انجام شود. برای جزئیات بیشتر در مورد [نحوه مشارکت][1]، لطفاً به [CONTRIBUTING.md][1] مراجعه فرمایید.


* Erez Yallon
* Inon Shkedy
* Paulo Silva

[1]: https://github.com/OWASP/API-Security/blob/master/CONTRIBUTING.md
OWASP API Security Top 10: 0x00 header

---
title: ''
description: OWASP API Security Top 10 2023 edition
---

![OWASP LOGO](images/cover.jpg)

| | | |
| - | - | - |
| [https://owasp.org](https://owasp.org) | این اثر تحت مجوز زیر توسعه داده شده است [Creative Commons Attribution-ShareAlike 4.0 International License][1] | ![Creative Commons License Logo](images/front-cc.png) |

[1]: http://creativecommons.org/licenses/by-sa/4.0/
OWASP API Security Top 10: 0x02 foreword

# FW پیشگفتار

در دنیای مبتنی بر App امروز، یکی از ابعاد بنیادین نوآوری واسط برنامه نویسی اپلیکیشن یا همان API ها هستند. از بانک‌‌ها گرفته تا خرده فروشی‌‌ها، حوزه حمل نقل، اینترنت اشیا، وسائل نقلیه خودران و شهرهای هوشمند، APIها بخشی حیاتی از اپلیکیشن‌‌های موبایل، وب و SaaS به شمار می‌آیند.

APIها ذاتا منطق اپلیکیشن و داده‌‌های حساسی از قبیل PII (داده‌‌هایی که به تنهایی و بدون نیاز به داده اضافی دیگر، هویت یک کاربر را عیان می کنند نظیر شماره ملی) را در معرض دید قرارداده و در نتیجه، به طور روزافزون توجه بخش بیشتری از مهاجمین را به خود جلب می‌نمایند. بدون داشتن APIهایی ایمن، توسعه سریع نوآوری‌‌های فناورانه، امکان پذیر نخواهد بود.

اگر چه کماکان می‌توان از لیست ده آسیب‌پذیری امنیتی بحرانی وب اپلیکیشن‌‌ها نیز برای امنیت APIها بهره برد، اما با توجه به ماهیت خاص APIها نیاز به لیستی از تهدیدات امنیتی مختص آنها احساس می‌شود. مقوله امنیت API بر راهکارها و استراتژی‌‌های لازم برای فهم و رفع آسیب‌پذیری‌‌ها و تهدیدات امنیتی خاص و منحصر به APIها تمرکز دارد.

اگر با پروژه [OWASP Top 10][1] آشنایی داشته باشید، شباهت‌‌هایی بین آن و مستند پیش رو خواهید یافت: هر دو با نیت فهم آسان توسط مخاطب و قابلیت بکارگیری و انطباق در سازمان تهیه شده‌اند. در صورتی که با مجموعه‌‌های OWASP Top 10 آشنایی ندارید، بهتر است پیش از رفتن به سراغ لیست اصلی، بخش‌‌های [API ریسک‌های امنیتی][2] و [متدولوژی و داده][3] از همین مستند را مطالعه نمایید.

با پرسش‌‌ها، نظرات و ایده‌‌های خود در GitHub پروژه می توانید در توسعه OWASP API Security Top 10 مشارکت کنید:

* [https://owasp.org/www-project-api-security][5]
* [https://github.com/OWASP/API-Security/blob/master/CONTRIBUTING.md][6] 

در اینجا می توانید OWASP API Security Top 10 را بیابید:

* [https://owasp.org/www-project-api-security][7]
* [https://github.com/OWASP/API-Security][8]

بدین وسیله از تمامی مشارکت کنندگان در این پروژه که با تلاش‌‌های خود در بوجود آمدن آن نقش داشته اند سپاسگزاریم. لیست تمامی آنها در قسمت [سپاسگزاری‌ها][4] قابل مشاهده است. متشکریم!


[1]: https://owasp.org/www-project-top-ten/
[2]: ./0x10-api-security-risks.md
[3]: ./0xd0-about-data.md
[4]: ./0xd1-acknowledgments.md
[5]: https://owasp.org/www-project-api-security/
[6]: https://github.com/OWASP/API-Security/blob/master/CONTRIBUTING.md
[7]: https://owasp.org/www-project-api-security/
[8]: https://github.com/OWASP/API-Security
OWASP API Security Top 10: 0x03 introduction

# مقدمه

## به OWASP API Security Top 10 - 2023 خوش آمدید!

به OWASP API Security Top 10 – 2023 خوش آمدید!  
به دومین ویراست ده ‌‌آسیب‌پذیری برتر امنیت API خوش آمدید. از زمان انتشار نسخه قبلی این سند در سال 2019، صنعت امنیت API به شدت رشد و تکامل یافته و اکنون می‌توان گفت که به بلوغ رسیده است. ما بر این باور هستیم که این مستند به عنوان مرجعی معتبر در صنعت امنیت به سرعت پذیرفته شده و به توسعه و پیشرفت آن کمک شایانی کرده است.  
API نقش مهمی در معماری اپلیکیشن‌‌های مدرن امروزی دارد. از آنجا که آگاهی بخشی امنیتی و نوآوری در این حوزه گام‌‌های مختلفی دارد، تمرکز بر نقاط ضعف رایج API‌ها اهمیت زیادی خواهد داشت.  
هدف اصلی مستند و پروژه ده ‌‌آسیب‌پذیری بحرانی امنیت API آموزش افراد دخیل در توسعه و نگهداری API‌ها از قبیل توسعه دهندگان، طراحان، معماران، مدیران و سازمان‌‌ها است. برای کسب اطلاعات بیشتر در مورد پروژه امنیت API، می‌توانید به [صفحه پروژه][1] مراجعه کنید.  
اگر با مجموعه OWASP Top 10 آشنا نیستید، پیشنهاد می‌کنیم به پروژه‌های زیر از این مجموعه را مطالعه کنید:

- [OWASP Cloud-Native Application Security Top 10][2]
- [OWASP Desktop App Security Top 10][3]
- [OWASP Docker Top 10][4]
- [OWASP Low-Code/No-Code Top 10][5]
- [OWASP Machine Learning Security Top Ten][6]
- [OWASP Mobile Top 10][7]
- [OWASP TOP 10][8]
- [OWASP Top 10 CI/CD Security Risks][9]
- [OWASP Top 10 Client-Side Security Risks][10]
- [OWASP Top 10 Privacy Risks][11]
- [OWASP Serverless Top 10][12]

در [بخش متدلوژی و داده][13]، اطلاعات بیشتری درباره نحوه ایجاد اولین نسخه از مستند حاضر خواهید یافت. در نسخه‌‌های آتی، جامعه امنیت را نیز دخیل نموده و به منظور دریافت داده‌‌های مرتبط، فراخوان عمومی خواهیم داد. در حال حاضر همگان را به مشارکت در [انباره داده Github][14] یا [لیست پست الکترونیک ما][15] از طریق ارسال سوال، نظر و پیشنهاد تشویق می‌کنیم.

[1]: https://owasp.org/www-project-api-security/  
[2]: https://owasp.org/www-project-cloud-native-application-security-top-10/  
[3]: https://owasp.org/www-project-desktop-app-security-top-10/  
[4]: https://owasp.org/www-project-docker-top-10/  
[5]: https://owasp.org/www-project-top-10-low-code-no-code-security-risks/  
[6]: https://owasp.org/www-project-machine-learning-security-top-10/  
[7]: https://owasp.org/www-project-mobile-top-10/  
[8]: https://owasp.org/www-project-top-ten/  
[9]: https://owasp.org/www-project-top-10-ci-cd-security-risks/  
[10]: https://owasp.org/www-project-top-10-client-side-security-risks/  
[11]: https://owasp.org/www-project-top-10-privacy-risks/  
[12]: https://owasp.org/www-project-serverless-top-10/  
[13]: ./0xd0-about-data.md  
[14]: https://github.com/OWASP/API-Security  
[15]: https://groups.google.com/a/owasp.org/forum/#!forum/api-security-project
OWASP API Security Top 10: 0xd1 acknowledgments

# ACK  سپاسگزاری‌ها

## سپاسگزاری از مشارکت کنندگان
بدینوسیله از تمامی مشارکت کنندگانی که به طور عمومی در GitHub  و به سایر طرق در توسعه این مستند نقش داشته‌اند تشکر می‌نماییم:

- abunuwas
- Alissa Knight
- Arik Atar
- aymenfurter
- Corey J. Ball
- cyn8 d0znpp 
- Dan Gordon 
- donge 
- Dor Tumarkin
- faizzaidi 
- gavjl 
- guybensimhon 
- Inês Martins 
- Isabelle Mauny 
- Ivan Novikov 
- jmanico 
- Juan Pablo 
- k7jto
- LaurentCB
- llegaz 
- Maxim Zavodchik 
- MrPRogers 
- planetlevel
- rahulk22 
- Roey Eliyahu 
- Roshan Piyush 
- securitylevelup 
- sudeshgadewar123 
- Tatsuya-hasegawa 
- tebbers 
- vanderaj 
- wenz
- xplo1t-sec 
- Yaniv Balmas
- Ynvb
- Alireza Mostame
- Maryam Javadi Hoseini
- Mohammad Reza Ismaeli Taba 

### ترجمه فارسی (Farsi Translation)
این ترجمه با حمایت شرکت راسپینا نت پارس تهیه شده است. استاندارد OWASP Security API Top 10 می‌تواند به عنوان مرجع راهنما در توسعه ایمن API و همچنین مرجع بررسی در فرایند آزمون نفوذ پذیری مورد استفاده قرار گیرد.

### مترجمین (Translators)
- محمد رضا اسمعیلی طبا (Mohammad Reza Ismaeli Taba)
- مریم جوادی حسینی (Maryam Javadi Hoseini)

### ویراستار (Editor)
- علیرضا مستمع (Alireza Mostame)
OWASP API Security Top 10: 0x04 release notes

# یادداشت

مستند پیش رو دومین ویراست ده ‌‌آسیب‌پذیری بحرانی امنیت API می‌باشد که دقیقاً چهار سال پس از نسخه اول آن منتشر شده است. در طول این چهار سال، تغییرات زیادی در زمینه امنیت API رخ داده است. از جمله این تغییرات می‌توان به موارد زیر اشاره کرد: افزایش چشمگیر تعداد تراکنش‌ها و ارتباطات صورت گرفته از طریق APIها، رشد بیشتر پروتکل‌های API، شرکت‌ها و راه‌حل‌های جدید در حوزه API و توسعه مهارت‌ها و تکنیک‌های جدید توسط مهاجمان برای نفوذ به APIها. با توجه به این موارد، وقت آن رسیده بود که لیست ده آسیب‌پذیری برتر امنیتی به‌روز شود.

با رشد و بهبود در صنعت امنیت API، برای نخستین بار، درخواستی عمومی برای [جمع‌آوری داده][1] در این زمینه ‌صورت گرفت. متأسفانه هیچ داده‌ای توسط افراد ارائه نشده، اما بر اساس تجربیات تیم پروژه، بازبینی دقیق از سوی متخصصان امنیت API و دریافت بازخورد از جامعه تخصصی در مورد نسخه آزمایشی، لیست جدیدی ایجاد شده است. برای آشنایی بیشتر با نحوه آماده سازی این مستند می‌توانید به [بخش متدولوژی و داده][2] مراجعه نمایید. همچنین جزئیات ریسک‌های امنیتی مرتبط در [بخش ریسک‌‌‌های امنیتی API][3] قابل مطالعه هستند.

OWASP API Security Top 10 2023 مستندی آگاهی‌بخش است که آینده صنعت امنیت API را مورد توجه قرار می‌دهد. این مستند به دلیل تغییرات و تحولات سریع در امنیت منتشر شده و هدف آن ارتقاء آگاهی از ریسک‌های امنیتی مرتبط با API است. مستند حاضر، جایگزینی برای دیگر لیست‌های TOP 10 OWASP محسوب نمی‌شود. در این ویرایش به تعدادی از ریسک‌های مهم امنیتی مرتبط با API پرداخته شده که عبارتند از:
• دو مورد "افشای مفرط داده " و "تخصیص جمعی*" با یکدیگر تلفیق شده‌اند و تمرکز بیشتری بر روی عامل مشترک آن‌ها، یعنی نقض اعتبارسنجی مجوز در سطح ویژگی‌های شیء* گذاشته‌ایم.
• در برخی موارد به جای اهمیت دادن به مدیریت موثر منابع و کنترل آنها تا زمان اتمام، فقط به مصرف فعلی منابع توجه می‌کنیم.
• با ایجاد دسته‌بندی جدیدی به نام "دسترسی بدون ‌محدودیت به جریان‌های حساس کسب‌وکار"، بر دسته جدیدی از تهدیدات تمرکز کردیم. این تهدیدات معمولاً با استفاده از محدود کردن نرخ دسترسی به جریان‌های حساس مرتبط، کاهش پیدا می‌کنند. این اقدام به ارتقاء امنیت در مقابل این تهدیدات کمک خواهد کرد.
• عنصر "استفاده ناایمن از APIها" را به لیست اضافه کرده‌ایم تا به رفتار جدیدی که اخیراً مشاهده شده، توجه داشته باشیم. موضوع نام برده شده، به این اشاره دارد که مهاجمان به جای حمله مستقیم به APIهای هدف، به دنبال نقاط ضعف در خدمات متکامل هدف می‌گردند تا از طریق آن‌ها به هدف خود نفوذ کنند. این مسئله به مرور زمان افزایش یافته و اکنون زمان مناسبی است تا به جامعه درباره این خطر در حال افزایش، اطلاع‌رسانی شود.

فهم تغییرات اساسی در معماری اپلیکیشن‌ها در سالیان گذشته از اهمیت زیادی برخوردار است. امروره APIها نقشی کلیدی در معماری ریزسرویس‌ها، اپلیکیشن‌های تک صفحه ای (SPA )، اپلیکیشن‌های موبایل، اینترنت اشیاء و ... دارند.

پروژه حاضر، حاصل تلاش فوق‌العاده داوطلبانه افراد متعددی بوده که بدون آن‌ها، به سرانجام رساندن آن امکان‌پذیر نبود که در [بخش تقدیر و تشکر][4]، از آن‌ها نام برده شده است. متشکریم!

[1]: https://owasp.org/www-project-api-security/announcements/cfd/2022/
[2]: ./0xd0-about-data.md
[3]: ./0x10-api-security-risks.md
[4]: ./0xd1-acknowledgments.md
OWASP API Security Top 10: 0x10 api security risks

# RISK ریسک های امنیتی API

به منظور تحلیل ریسک، از متدولوژی رتبه بندی ریسک OWASP استفاده شده است.
جدول زیر، واژگان مرتبط با رتبه ریسک را مختصرا نشان می‌دهد.

| عوامل تهدید    | قابلیت بهره برداری | میزان شیوع آسیب‌پذیری | قابلیت شناسایی آسیب‌پذیری | پیامد فنی  | تاثیر بر کسب و کار   |
|----------------|--------------------|-----------------------|----------------------------|------------|----------------------|
| خاص API        | آسان: 3            | گسترده: 3             | آسان: 3                    | شدید: 3    | خاص کسب و کار        |
|                | متوسط: 2           | متداول: 2             | متوسط: 2                   | متوسط: 2   |                      |
|                | سخت: 1             | سخت: 1                | سخت: 1                     | جزئی: 1    |                      |

در این رویکرد، نوع فناوری مورد استفاده و احتمال وقوع آسیب‌پذیری در رتبه ریسک تاثیر ندارند؛ بعبارت دیگر در این روش رتبه بندی ریسک، راهکار مورد استفاده برای ‌‌‌‌پیاده‌سازی API، با رویکردی مستقل از جزئیات فناوری به ارزیابی ریسک می‌پردازد. هرکدام از عوامل یاد شده می‌تواند در پیداکردن و سواستفاده از یک آسیب‌پذیری به مهاجم کمک بسزایی کند. این رتبه بندی تاثیر واقعی بر کسب و کارها را نشان نداده و این سازمان‌ها هستند که با توجه به نوع کسب و کار و فرهنگ سازمانی خود، در میزان پذیرش خطر امنیتی استفاده از اپلیکیشن‌ها و APIها تصمیم گیرنده هستند. هدف از مستند ده آسیب‌پذیری بحرانی امنیت API، تحلیل ریسک نیست.

## مراجع

### OWASP

-	[OWASP Risk Rating Methodology][1]
-	[Article on Threat/Risk Modeling][2]

### خارجی

-	[ISO 31000: Risk Management Std][3]
-	[ISO 27001: ISMS][4]
-	[NIST Cyber Framework (US)][5]
-	[ASD Strategic Mitigations (AU)][6]
-	[NIST CVSS 3.0][7]
-	[Microsoft Threat Modeling Tool][8]

[1]: https://owasp.org/www-project-risk-assessment-framework/
[2]: https://owasp.org/www-community/Threat_Modeling
[3]: https://www.iso.org/iso-31000-risk-management.html
[4]: https://www.iso.org/isoiec-27001-information-security.html
[5]: https://www.nist.gov/cyberframework
[6]: https://www.asd.gov.au/infosec/mitigationstrategies.htm
[7]: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator
[8]: https://www.microsoft.com/en-us/download/details.aspx?id=49168
OWASP API Security Top 10: 0x00 toc

# فهرست مطالب

* [ فهرست مطالب](0x00-toc.md)
* [درباره OWASP](0x01-about-owasp.md)
* [ پیش‌گفتار](0x02-foreword.md)
* [ مقدمه](0x03-introduction.md)
* [ یادداشت](0x04-release-notes.md)
* [ ریسک‌های امنیت API](0x10-api-security-risks.md)
* [ ده ریسک امنیت API OWASP 2023](0x11-t10.md)
* [API1:2023 مجوزدهی نادرست در سطح اشیا](0xa1-broken-object-level-authorization.md)
* [API2:2023 احرازهویت نادرست کاربر](0xa2-broken-authentication.md)
* [API3:2023 افشای مفرط داده](0xa3-broken-object-property-level-authorization.md)
* [API4:2023 کمبود منابع و نبود محدودیت بر نرخ ارسال](0xa4-unrestricted-resource-consumption.md)
* [API5:2023 مجوزدهی نادرست در سطح توابع](0xa5-broken-function-level-authorization.md)
* [API6:2023 تخصیص جمعی](0xa6-unrestricted-access-to-sensitive-business-flows.md)
* [API7:2023 پیکربندی امنیتی نادرست](0xa7-server-side-request-forgery.md)
* [API8:2023 تزریق ورودی‌های مخرب](0xa8-security-misconfiguration.md)
* [API9:2023 مدیریت نادرست دارایی‌ها](0xa9-improper-inventory-management.md)
* [API10:2023 پایش و نظارت ناکافی](0xaa-unsafe-consumption-of-apis.md)
* [ادامه برای توسعه دهندگان](0xb0-next-devs.md)
* [ ادامه برای DevSecOps](0xb1-next-devsecops.md)
* [ متدولوژی و داده](0xd0-about-data.md)
* [سپاسگزاری](0xd1-acknowledgments.md)
OWASP API Security Top 10: 0x01 about owasp

# درباره OWASP

پروژه بازمتن امنیت وب اپلیکیشن‌ها (OWASP)  جامعه ای باز و آزاد است که اختصاصا در حوزه توانمندسازی سازمان‌ها در حوزه توسعه، تهیه و ایجاد اپلیکیشن‌ها و APIهای قابل اعتماد فعالیت دارد.
 در OWASP، موارد زیر را بصورت رایگان و آزاد خواهید یافت:

- استانداردها و ابزارهای امنیت اپلیکیشن.
- کتاب‌هایی درباره تست امنیت اپلیکیشن‌ها، توسعه ایمن کد و بازبینی امنیت کد.
- ارائه‌ها و [ویدئوها][1].
- [راهنما و برگه تقلب][2] برای بسیاری از موضوعات رایج.
- کنترل‌ها و کتابخانه‌های استاندارد در حوزه امنیت.
- [شعب محلی در سرتاسر جهان][3].
- تحقیقات به روز و پیشرو در حوزه امنیت.
- [کنفرانس‌های تخصصی][4] در سرتاسر جهان.
- [یست‌های پست الکترونیک][5] [آرشیو][6]

اطلاعات بیشتر در: [https://owasp.org][7]

تمامی ابزارها، مستندات، ویدئوها، ارائه‌ها و شعب OWASP رایگان بوده و استفاده از یا مشارکت در آنها برای کلیه افرادی که تمایل به بهبود امنیت اپلیکیشن‌ها دارند، آزاد است.

در OWASP امنیت اپلیکیشن بعنوان مساله‌ای مهم از منظر افراد، فرایندها و فناوری‌ها در نظر گرفته می‌شود چرا که موثرترین رویکردها در امنیت اطلاعات نیز به بهبود در این حوزه‌ها نیاز دارند.

OWASP تعریف جدیدی از سازمان ارائه می‌دهد. رهایی از بند فشار مسائل مالی امکان فراهم آوردن اطلاعات بیطرفانه، عملی و مقرون به صرفه در حوزه امنیت اپلیکیشن‌ها را به ما داده است.

OWASP به هیچ کمپانی فناوری وابستگی ندارد اگرچه از استفاده آگاهانه از فناوری‌های تجاری در حوزه امنیت نیز حمایت می‌کنیم. OWASP انواع مختلفی از اطلاعات را به گونه‌ای همکارانه، شفاف و باز ارائه می‌دهد.

بنیاد OWASP موجودیتی غیرانتفاعی و عام المنفعه است که توفیق بلند مدت پروژه OWASP را تضمین می‌نماید. تقریبا تمامی کسانی که با OWASP پیوند دارند، از قبیل اعضای هیئت مدیره، روسای شعبه‌ها، راهبران پروژه‌ها و اعضای پروژه‌ها داوطلبانه این همکاری را انجام می‌دهند. همچنین ما از تحقیقات نوآورانه در حوزه امنیت با ارائه کمک‌های مالی و زیرساختی حمایت می‌کنیم.

به ما بپیوندید!

## حق چاپ و مجوز

![license](images/license.png)

حق چاپ © 2003-2023 بنیاد OWASP. این اثر تحت مجوز [Creative Commons Attribution ShareAlike 4.0 International License][8] توسعه داده شده است. برای هرگونه استفاده مجدد یا انتشار، باید شرایط مجوز این اثر را برای دیگران شفاف نمایید.

[1]: https://www.youtube.com/user/OWASPGLOBAL
[2]: https://cheatsheetseries.owasp.org/
[3]: https://owasp.org/chapters/
[4]: https://owasp.org/events/
[5]: https://groups.google.com/a/owasp.org/forum/#!overview
[6]: https://lists.owasp.org/mailman/listinfo
[7]: https://www.owasp.org
[8]: http://creativecommons.org/licenses/by-sa/4.0/
OWASP Secure Coding Cheat Sheets: requirements

Babel==2.16.0
certifi==2024.8.30
charset-normalizer==3.4.0
click==8.1.7
colorama==0.4.6
feedgen==1.0.0
ghp-import==2.1.0
idna==3.10
Jinja2==3.1.6
lxml==6.1.0
Markdown==3.8.1
MarkupSafe==3.0.2
mergedeep==1.3.4
mkdocs==1.6.1
mkdocs-material==9.5.42
mkdocs-material-extensions==1.3.1
packaging==24.1
paginate==0.5.7
pathspec==0.12.1
platformdirs==4.3.6
Pygments==2.19.2
pymdown-extensions==10.16.1
python-dateutil==2.9.0.post0
PyYAML==6.0.2
pyyaml_env_tag==0.1
regex==2024.9.11
requests==2.33.0
six==1.16.0
urllib3==2.6.3
watchdog==5.0.3
OWASP Secure Coding Cheat Sheets: SECURITY

# Security Policy

The OWASP Cheat Sheet Series is primarily documentation, but some in-scope examples include:

- Allows an attacker to run code in a reader’s browser via [our site](https://cheatsheetseries.owasp.org/) (XSS, open redirect, etc)
- Leaks GitHub Actions secrets
- Tampers with our build pipeline

The following are out of scope unless they are directly exploitable on the live site:

- Snippets that are intentionally vulnerable for demonstration
- Third-party dependencies (automatically handled by Dependabot)

## Reporting a Vulnerability

**Do not open public issues for new vulnerabilities**.

Instead, submit a private report including clear steps to reproduce and details about potential impact to:

- <jim.manico@owasp.org>
- <jakub.mackowski@owasp.org>
- <shlomo.heigh@owasp.org>
OWASP Secure Coding Cheat Sheets: Preface

# ![OWASPHeader](assets/Preface_Cheatsheet_Header.png)

![ProjectLogoOfficial](assets/Preface_Cheatsheet_Logo.png)

The **OWASP Cheat Sheet Series** was created to provide a concise collection of high value information on specific application security topics. These cheat sheets were created by various application security professionals who have expertise in specific topics.

We hope that this project provides you with excellent security guidance in an easy to read format. :smile:

You can download this site [here](bundle.zip).

An ATOM feed is available [here](News.xml) with the latest updates.

Project leaders:

- [Jim Manico](https://github.com/jmanico)
- [Jakub Maćkowski](https://github.com/mackowski)

Core team:

- [Kevin W. Wall](https://github.com/kwwall)
- [Shlomo Zalman Heigh](https://github.com/szh)

Project links:

- [Homepage](https://owasp.org/www-project-cheat-sheets/)
- [GitHub repository](https://github.com/OWASP/CheatSheetSeries)
- [How to contribute?](https://github.com/OWASP/CheatSheetSeries/blob/master/CONTRIBUTING.md)
- [Logo](https://github.com/OWASP/owasp-swag/tree/master/projects/cheat-sheet-series)
OWASP Secure Coding Cheat Sheets: New CheatSheet

# `Topic` Cheat Sheet

**Replace `Topic` with the topic you're tackling, such as `Authentication` and remove this line**

```markdown
# Mandatory Markdown Format Rules

**!!! REMOVE THIS BLOCK BEFORE TO SUBMIT YOUR CHEAT SHEET VIA PULL REQUEST !!!**

- Use this [editor and validation policy](https://github.com/OWASP/CheatSheetSeries#editor--validation-policy).
- Use these [format rules](https://github.com/OWASP/CheatSheetSeries#conversion-rules).
```

## Introduction

Provide high level information about the topic in order to introduce it to people that do not know it.

You can add pointer to external sources if needed but at least give an overview allowing a reader to continue on the CS.

You can also add schema or diagram in any part of the CS but be sure to respect the copyright of the source file.

## Main Sections

The main sections will vary based on the content of the cheat sheet. Generally there should be no more than half a dozen level 2 sections in the cheat sheet, with subsections created for these as required.

## References

Any useful references to other useful resources that aren't linked inline elsewhere in the cheat sheet.
OWASP Secure Coding Cheat Sheets: Access Control Cheat Sheet

# DEPRECATED: Access Control Cheatsheet

The Access Control cheatsheet has been deprecated.

Please visit the [Authorization Cheatsheet](Authorization_Cheat_Sheet.md) instead.
OWASP Secure Coding Cheat Sheets: TLS Cipher String Cheat Sheet

# DEPRECATED: TLS Cipher String Cheat Sheet

The TLS Cipher String Cheat Sheet has been deprecated.

Please visit the [Transport Layer Security Cheat Sheet](Transport_Layer_Security_Cheat_Sheet.md) instead.