deardaniel/secdata-raw huggingface dataset:
OWASP API Security Top 10: 0x04 release notes

# Notes de publication

Ce document est la seconde édition du OWASP API Security Top 10, disponible exactement quatre ans
après sa première publication. Beaucoup de choses ont changé dans le domaine (de
la sécurité) des API. Le trafic des API a augmenté à un rythme soutenu, certains
protocoles API ont gagné en popularité, de nouvelles solutions de sécurité ont vu le jour, et, bien sûr, les attaquants ont développé de nouvelles compétences et techniques pour compromettre les API. Il était grand temps de mettre à jour la liste des dix risques de sécurité API les plus critiques.

Avec une industrie de la sécurité des API plus mature, pour la première fois, il y a eu [un appel public à la collecte de données][1]. Malheureusement, aucune donnée n'a été envoyée, mais sur la base de l'expérience de l'équipe du projet, de l'examen attentif de la part des spécialistes de la sécurité des API et des retours de la communauté sur la version candidate, nous avons construit cette nouvelle liste. Dans la [section Méthodologie et Données][2], vous trouverez plus de détails sur la façon dont cette version a été construite. Pour plus de détails sur les risques de sécurité, veuillez vous référer à la [section Risques de sécurité des API][3].

Le OWASP API Security Top 10 2023 est un document de sensibilisation tourné vers l'avenir pour une industrie en constante évolution. Il ne remplace pas les autres TOP 10. Dans cette édition :

* Nous avons combiné l' "Excessive Data Exposure" et le "Mass Assignment" en mettant l'accent sur la cause commune : "Broken Object Property Level Authorization".
* Nous avons mis davantage l'accent sur la consommation de ressources, plutôt que sur le rythme auquel elles sont épuisées.
* Nous avons créé une nouvelle catégorie "Unrestricted Access to Sensitive Business Flows" pour aborder de nouvelles menaces, comprenant la plupart de celles qui peuvent être atténuées par le biais du rate limiting.
* Nous avons ajouté "Unsafe Consumption of APIs" pour aborder quelque chose que nous avons commencé à voir : les attaquants ont commencé à chercher à compromettre les services intégrés de la cible, au lieu de viser directement les API. C'est le bon moment pour commencer à sensibiliser à ce risque croissant.

Les API jouent un rôle de plus en plus important dans l'architecture moderne des microservices, les applications monopages (SPA), les applications mobiles, l'IoT, etc. Le OWASP API Security Top 10 est un effort nécessaire pour sensibiliser aux problèmes de sécurité des API modernes.

Cette mise à jour n'a été possible que grâce à l'énorme effort de plusieurs bénévoles, listés dans la [section Remerciements][4].

Merci!

[1]: https://owasp.org/www-project-api-security/announcements/cfd/2022/
[2]: ./0xd0-about-data.md
[3]: ./0x10-api-security-risks.md
[4]: ./0xd1-acknowledgments.md
OWASP API Security Top 10: 0x10 api security risks

# Risques de sécurité des API

La [méthodologie d'évaluation des risques de l'OWASP][1] a été utilisée pour effectuer l'analyse des risques.

La table ci-dessous résume la terminologie associée au "score" de risque.

| Facteur de menace | Exploitabilité | Prévalence de la faiblesse | Détectabilité de la faiblesse | Impact technique | Impacts organisationnel |
| :-: | :-: | :-: | :-: | :-: | :-: |
| Spécifique à l'API | Facile: **3** | Répandue **3** | Facile **3** | Sévère **3** | Spécifique à l'organisation |
| Spécifique à l'API | Moyenne: **2** | Commune   **2** | Moyenne **2** | Modéré **2** | Spécifique à l'organisation |
| Spécifique à l'API | Difficile: **1** | Difficile **1** | Difficile **1** | Mineur **1** | Spécifique à l'organisation |


**Note**: Cette approche ne prend pas en compte la probabilité de la menace. Elle ne tient pas non plus compte des divers détails techniques spécifiques à votre application. L'un de ces facteurs pourrait affecter significativement la probabilité globale qu'un attaquant trouve et exploite une vulnérabilité particulière. Cette notation ne prend pas en compte l'impact réel sur votre entreprise. Votre organisation devra décider du niveau de risque de sécurité des applications et des API que l'organisation est prête à accepter compte tenu de votre culture, de votre secteur et de votre environnement réglementaire. Le but du OWASP API Security Top 10 n'est pas de faire cette analyse de risque pour vous. Comme cette édition n'est pas basée sur des données, la prévalence résulte d'un consensus entre les membres de l'équipe.

## Références

### OWASP

* [OWASP Risk Rating Methodology][1]
* [Article on Threat/Risk Modeling][2]

### Externes

* [ISO 31000: Risk Management Std][3]
* [ISO 27001: ISMS][4]
* [NIST Cyber Framework (US)][5]
* [ASD Strategic Mitigations (AU)][6]
* [NIST CVSS 3.0][7]
* [Microsoft Threat Modeling Tool][8]

[1]: https://owasp.org/www-project-risk-assessment-framework/
[2]: https://owasp.org/www-community/Threat_Modeling
[3]: https://www.iso.org/iso-31000-risk-management.html
[4]: https://www.iso.org/isoiec-27001-information-security.html
[5]: https://www.nist.gov/cyberframework
[6]: https://www.asd.gov.au/infosec/mitigationstrategies.htm
[7]: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator
[8]: https://www.microsoft.com/en-us/download/details.aspx?id=49168
OWASP API Security Top 10: 0x00 toc

# Table des Matières

* [Table des Matières](0x00-toc.md)
* [À propos de l'OWASP](0x01-about-owasp.md)
* [Avant-propos](0x02-foreword.md)
* [Introduction](0x03-introduction.md)
* [Notes de publication](0x04-release-notes.md)
* [Risques de sécurité des API](0x10-api-security-risks.md)
* [OWASP Top 10 API Security Risks – 2023](0x11-t10.md)
* [API1:2023 Broken Object Level Authorization](0xa1-broken-object-level-authorization.md)
* [API2:2023 Broken Authentication](0xa2-broken-authentication.md)
* [API3:2023 Broken Object Property Level Authorization](0xa3-broken-object-property-level-authorization.md)
* [API4:2023 Unrestricted Resource Consumption](0xa4-unrestricted-resource-consumption.md)
* [API5:2023 Broken Function Level Authorization](0xa5-broken-function-level-authorization.md)
* [API6:2023 Unrestricted Access to Sensitive Business Flows](0xa6-unrestricted-access-to-sensitive-business-flows.md)
* [API7:2023 Server Side Request Forgery](0xa7-server-side-request-forgery.md)
* [API8:2023 Security Misconfiguration](0xa8-security-misconfiguration.md)
* [API9:2023 Improper Inventory Management](0xa9-improper-inventory-management.md)
* [API10:2023 Unsafe Consumption of APIs](0xaa-unsafe-consumption-of-apis.md)
* [Perspectives pour les Développeurs](0xb0-next-devs.md)
* [Perspectives pour les DevSecOps](0xb1-next-devsecops.md)
* [Méthodologie et données](0xd0-about-data.md)
* [Remerciements](0xd1-acknowledgments.md)
OWASP API Security Top 10: 0x01 about owasp

# À propos de l'OWASP

L'Open Worldwide Application Security Project (OWASP) est une communauté ouverte qui cherche à aider les organisations à développer, acheter et maintenir des applications et des API en lesquelles elles peuvent avoir confiance.

L'OWASP vous met à disposition gratuitement et en libre accès :

* Des outils et des normes de sécurité pour les applications.
* Des livres complets à propos des tests de sécurité sur les applications, du développement de code sécurisé et de la revue de code sécurisé.
* Des présentations et des [vidéos][1].
* Des [Cheat sheets][2] sur de nombreux sujets.
* Des contrôles et des bibliothèques de sécurité standard.
* Des [communautés locales partout dans le monde][3].
* Des recherches de pointe.
* De nombreuses [conférences partout dans le monde][4].
* Des [listes de diffusion][5] ([archive][6]).

Plus de renseignements sur : [https://www.owasp.org][7].

Tous les outils, documents, vidéos, présentations et communautés de l'OWASP sont gratuits et ouverts à toute personne intéressée par l'amélioration de la sécurité des applications.

Nous considerons la sécurité des applications d'abord comme un problème impliquant des personnes, des processus et de la technologie. La manière la plus efficace de la faire progresser est donc de travailler sur l'ensemble de ces domaines en même temps.

L'OWASP est un nouveau type d'organisation. Notre liberté face aux pressions commerciales nous permet de fournir des informations impartiales, pratiques et rentables sur la sécurité des applications. 

L'OWASP n'est affiliée à aucune entreprise de technologie, bien que nous soutenions l'utilisation éclairée de technologies sous licences commerciales. L'OWASP produit toutes sortes d'éléments de manière collaborative, transparente et ouverte.

La Fondation OWASP est l'entité à but non lucratif qui garantit le succès à long terme du projet. La quasi-totalité des personnes associée à l'OWASP est bénévole, y compris le conseil d'administration, les responsables des communautés, les responsables de projets et les membres des projets. Nous soutenons la recherche et l'innovation sur la sécurité par des subventions et des infrastructures.

Rejoignez-nous !

## Copyright et licence

![license](images/license.png)

Copyright © 2003-2023 The OWASP Foundation. 
Ce document est distribué sous la [licence Creative Commons Attribution Share-Alike 4.0][8]. Toute réutilisation ou distribution doit clairement mentionner les termes et condition de licence de cette oeuvre.

[1]: https://www.youtube.com/user/OWASPGLOBAL
[2]: https://cheatsheetseries.owasp.org/
[3]: https://owasp.org/chapters/
[4]: https://owasp.org/events/
[5]: https://groups.google.com/a/owasp.org/forum/#!overview
[6]: https://lists.owasp.org/mailman/listinfo
[7]: https://www.owasp.org
[8]: http://creativecommons.org/licenses/by-sa/4.0/
OWASP API Security Top 10: 0x00 notice

# Pemberitahuan

Ini adalah versi teks dari OWASP API Security Top 10, digunakan sebagai sumber untuk semua versi resmi dokumen ini seperti situs web.

Kontribusi terhadap proyek seperti komentar, koreksi, atau terjemahan harus dilakukan di sini. Untuk perincian tentang [Cara Berkontribusi][1], harap mengacu pada [CONTRIBUTING.md][1].

* Erez Yallon
* Inon Shkedy
* Paulo Silva

[1]: ../../../CONTRIBUTING.md
OWASP API Security Top 10: 0xb1 next devsecops

# Apa Selanjutnya untuk DevSecOps

Karena pentingnya mereka dalam arsitektur aplikasi modern, membangun API yang aman adalah suatu keharusan. Keamanan tidak boleh diabaikan, dan itu harus menjadi bagian dari seluruh siklus pengembangan. Pemindaian dan pengujian penetrasi setahun sekali tidak lagi cukup.

DevSecOps harus bergabung dengan upaya pengembangan, memfasilitasi pengujian keamanan berkelanjutan di seluruh siklus pengembangan perangkat lunak. Tujuan Anda harus meningkatkan jalur pengembangan dengan otomatisasi keamanan, tanpa mempengaruhi kecepatan pengembangan.

Jika ragu, tetap terinformasi, dan lihat [Manifesto DevSecOps][1].

| | |
|-|-|
| **Mengerti Model Ancaman** | Prioritas pengujian berasal dari model ancaman. Jika Anda belum memilikinya, pertimbangkan untuk menggunakan [Standar Verifikasi Keamanan Aplikasi OWASP (ASVS)][2], dan [Panduan Pengujian OWASP][3] sebagai masukan. Melibatkan tim pengembangan akan membantu membuat mereka lebih sadar akan keamanan. |
| **Mengerti SDLC** | Bergabunglah dengan tim pengembangan untuk lebih memahami Siklus Hidup Pengembangan Perangkat Lunak. Kontribusi Anda pada pengujian keamanan berkelanjutan harus sesuai dengan orang, proses, dan alat. Semua orang harus setuju dengan proses tersebut, sehingga tidak ada gesekan atau resistensi yang tidak perlu. |
| **Strategi Pengujian** | Karena pekerjaan Anda tidak boleh mempengaruhi kecepatan pengembangan, Anda harus bijak memilih teknik terbaik (sederhana, cepat, paling akurat) untuk memverifikasi persyaratan keamanan. [Kerangka Pengetahuan Keamanan OWASP][4] dan [Standar Verifikasi Keamanan Aplikasi OWASP][2] dapat menjadi sumber terbaik persyaratan keamanan fungsional dan non-fungsional. Terdapat sumber-sumber bagus lainnya untuk [proyek][5] dan [alat][6] yang serupa dengan yang ditawarkan oleh [komunitas DevSecOps][7]. |
| **Mencapai Cakupan dan Akurasi** | Anda adalah jembatan antara tim pengembangan dan tim operasi. Untuk mencapai cakupan, Anda harus fokus tidak hanya pada fungsionalitas, tetapi juga orkestrasi. Bekerja erat dengan tim pengembangan dan operasi sejak awal sehingga Anda dapat mengoptimalkan waktu dan usaha Anda. Anda harus bertujuan untuk mencapai suatu tahap ketika keamanan esensial diverifikasi secara berkelanjutan. |
| **Komunikasikan Temuan dengan Jelas** | Memberikan nilai dengan sedikit atau tanpa gesekan. Sampaikan temuan dengan tepat waktu, dalam alat yang digunakan tim pengembangan (bukan file PDF). Bergabung dengan tim pengembangan untuk mengatasi temuan. Manfaatkan kesempatan ini untuk memberi mereka pendidikan, jelaskan kelemahan dan bagaimana kelemahan bisa disalahgunakan, termasuk skenario serangan untuk membuatnya nyata. |

[1]: https://www.devsecops.org/
[2]: https://owasp.org/www-project-application-security-verification-standard/
[3]: https://owasp.org/www-project-web-security-testing-guide/
[4]: https://owasp.org/www-project-security-knowledge-framework/
[5]: http://devsecops.github.io/
[6]: https://github.com/devsecops/awesome-devsecops
[7]: http://devsecops.org
OWASP API Security Top 10: 0x00 header

---
title: ''
description: OWASP API Security Top 10 edisi 2023
---

![OWASP LOGO](images/cover.jpg)

| | | |
| - | - | - |
| https://owasp.org | Karya ini dilisensikan di bawah [Creative Commons Attribution-ShareAlike 4.0 International License][1] | ![Creative Commons License Logo](images/front-cc.png) |

[1]: http://creativecommons.org/licenses/by-sa/4.0/

</file-attachment-contents>
OWASP API Security Top 10: 0x02 foreword

# Kata Pengantar 

Elemen inovasi dasar di dunia yang digerakkan aplikasi  hari ini adalah Application Programming Interface (API). Dari bank, ritel, dan transportasi hingga IoT, kendaraan otonom, dan kota pintar, API merupakan bagian penting dari aplikasi seluler, SaaS, dan web aplikasi dan dapat ditemukan dalam aplikasi untuk pelanggan, mitra, dan internal.

Berdasarkan sifatnya, API mengekspos logika aplikasi dan data sensitif seperti Informasi Pribadi yang Dapat Diidentifikasi (PII) dan karena ini, API semakin menjadi target para penyerang. Tanpa API yang aman, inovasi cepat akan menjadi mustahil. 

Meskipun masih dapat menggunakan Top 10 risiko keamanan aplikasi web yang lebih luas, namun karena sifat khususnya, dibutuhkan daftar risiko keamanan API yang spesifik. Keamanan API berfokus pada strategi dan solusi untuk memahami dan memitigasi kerentanan unik dan risiko keamanan yang terkait dengan API.

Jika Anda sudah akrab dengan [Proyek OWASP Top 10][1], maka Anda akan melihat kesamaan di antara kedua dokumen: mereka ditujukan agar mudah dibaca dan diadopsi. Jika anda baru mengenal seri OWASP Top 10, anda mungkin lebih baik membaca bagian [Risiko Keamanan API][2] dan [Metodologi dan Data][3] sebelum melompat ke daftar Top 10.

Anda dapat berkontribusi pada OWASP API Security Top 10 dengan pertanyaan, komentar, dan ide Anda di repositori proyek GitHub kami:

* https://owasp.org/www-project-api-security/ 
* https://github.com/OWASP/API-Security/blob/master/CONTRIBUTING.md

Anda dapat menemukan OWASP API Security Top 10 di sini:

* https://owasp.org/www-project-api-security/
* https://github.com/OWASP/API-Security  

Kami ingin berterima kasih kepada semua kontributor yang membuat proyek ini terwujud dengan upaya dan kontribusi mereka. Mereka semua tercantum di bagian [Ucapan Terima Kasih][4]. Terima kasih!

[1]: https://owasp.org/www-project-top-ten/
[2]: ./0x10-api-security-risks.md
[3]: ./0xd0-about-data.md 
[4]: ./0xd1-acknowledgments.md
OWASP API Security Top 10: 0x03 introduction

# Perkenalan

## Selamat Datang di OWASP API Security Top 10 - 2023!

Selamat datang di edisi kedua OWASP API Security Top 10!

Dokumen ini pertama kali dipublikasikan pada tahun 2019. Sejak saat itu, industri keamanan API berkembang dan menjadi lebih dewasa. Kami sungguh percaya bahwa usaha ini telah berkontribusi positif terhadap hal itu, karena telah diadopsi secara cepat sebagai referensi industri.

API memainkan peranan penting di dalam arsitektur aplikasi modern. Namun karena inovasi memiliki kecepatan yang berbeda dibanding membuat kesadaran keamanan, kami percaya adalah penting untuk fokus menciptakan kesadaran atas kelemahan-kelemahan keamanan API umum.

Tujuan utama OWASP API Security Top 10 adalah mendidik mereka yang terlibat dalam pengembangan dan pengelolaan API, sebagai contoh, para pengembang, desainer, arsitek, manajer atau organisasi. Anda dapat mengetahui lebih lanjut tentang API Security
Project dengan mengunjungi [halaman proyek][1].

Jika anda tidak mengenal seri OWASP top 10, kami merekomendasikan anda untuk memeriksa beberapa proyek top 10 berikut ini:

* [OWASP Cloud-Native Application Security Top 10][2]
* [OWASP Desktop App Security Top 10][3]
* [OWASP Docker Top 10][4]
* [OWASP Low-Code/No-Code Top 10][5]
* [OWASP Machine Learning Security Top Ten][6]
* [OWASP Mobile Top 10][7]
* [OWASP TOP 10][8]
* [OWASP Top 10 CI/CD Security Risks][9]
* [OWASP Top 10 Client-Side Security Risks][10]
* [OWASP Top 10 Privacy Risks][11]
* [OWASP Serverless Top 10][12]

Tidak ada proyek yang menggantikan satu dengan lainnya: jika anda bekerja dengan aplikasi mobile yang didukung oleh API back-end, anda sebaiknya membaca kedua top 10 yang terkait. Hal yang sama juga berlaku bila anda bekerja dengan aplikasi web atau desktop yang menggunakan API.

Dalam bab [Metodologi dan Data][13], anda dapat membaca lebih lanjut bagaimana edisi ini dibuat. Untuk saat ini, kami menganjurkan setiap orang untuk berkontribusi dengan pertanyaan, komentar, dan ide Anda di repositori proyek GitHub kami [repositori GitHub][14] or
[Mailing list][15].

[1]: https://owasp.org/www-project-api-security/
[2]: https://owasp.org/www-project-cloud-native-application-security-top-10/
[3]: https://owasp.org/www-project-desktop-app-security-top-10/
[4]: https://owasp.org/www-project-docker-top-10/
[5]: https://owasp.org/www-project-top-10-low-code-no-code-security-risks/
[6]: https://owasp.org/www-project-machine-learning-security-top-10/
[7]: https://owasp.org/www-project-mobile-top-10/
[8]: https://owasp.org/www-project-top-ten/
[9]: https://owasp.org/www-project-top-10-ci-cd-security-risks/
[10]: https://owasp.org/www-project-top-10-client-side-security-risks/
[11]: https://owasp.org/www-project-top-10-privacy-risks/
[12]: https://owasp.org/www-project-serverless-top-10/
[13]: ./0xd0-about-data.md
[14]: https://github.com/OWASP/API-Security
[15]: https://groups.google.com/a/owasp.org/forum/#!forum/api-security-project
OWASP API Security Top 10: 0xd1 acknowledgments

# Ucapan Terima Kasih

## Ucapan Terima Kasih kepada Kontributor

Kami ingin mengucapakn terima kasih kepada kontributor berikut ini yang telah berkontribusi secara terbuka melalui GitHub, atau melalui cara lainnya:

247arjun, abunuwas, Alissa Knight, Arik Atar, aymenfurter, Corey J. Ball, cyn8,
d0znpp, Dan Gordon, donge, Dor Tumarkin, faizzaidi, gavjl, guybensimhon, Inês
Martins, Isabelle Mauny, Ivan Novikov, jmanico, Juan Pablo, k7jto, LaurentCB,
llegaz, Maxim Zavodchik, MrPRogers, planetlevel, rahulk22, Roey Eliyahu, Roshan
Piyush, securitylevelup, sudeshgadewar123, Tatsuya-hasegawa, tebbers, vanderaj,
wenz, xplo1t-sec, Yaniv Balmas, ynvb
OWASP API Security Top 10: 0x04 release notes

# Catatan Rilis

Ini adalah edisi kedua OWASP API Security Top 10, tepat empat tahun setelah rilis pertama. Banyak perubahan terjadi dalam area keamanan API. Lalu lintas API meningkat dalam fase yang cepat, beberapa protokol API mendapatkan banyak daya tarik, berbagai solusi/vendor keamanan API telah bermunculan, dan tentu saja, para penyerang telah mengembangkan kemampuan dan teknik baru untuk menyerang API. Sudah saatnya untuk memperbarui daftar sepuluh risiko paling kritis keamanan API.

Dengan semakin matangnya industri keamanan API, untuk pertama kalinya, ada [panggilan publik untuk data][1]. Namun sayangnya, tidak ada data yang dikontribusikan, namun berdasarkan pengalaman tim proyek, tinjauan cermat spesialis keamanan API, dan masukan dari komunitas, kami membuat daftar baru ini. Dalam bagian 
[Metodologi dan Data][2], anda akan menemukan informasi rinci mengenai bagaimana versi ini dikembangkan. Informasi lebih rinci mengenai risiko keamanan silakan mengacu ke bagian
[Risiko Keamanan API][3].

OWASP API Security Top 10 2023 adalah dokumen kesadaran berwawasan ke depan untuk industri yang berkembang cepat. Dokumen ini tidak menggantikan TOP 10 lainnya. Dalam edisi ini:

* Kami telah menggabungkan Paparan Data Berlebihan dan  Penugasan Massal dengan berfokus pada akar masalah yang sama: kegagalan validasi otorisasi tingkat properti obyek.
* Kami lebih menekankan pada konsumsi sumber daya, daripada berfokus pada kecepatan mereka dihabiskan.
* Kami telah membuat kategori baru "Akses Tanpa Batas ke Aliran Bisnis Sensitif" untuk mengatasi ancaman baru, termasuk ancaman yang dapat dimitigasi dengan menggunakan pembatasan. 
* Kami menambahkan "Konsumsi API yang Tidak Aman" untuk mengatasi sesuatu hal yang mulai kami jumpai: penyerang telah mulai menyasar layanan integrasi target, alih-alih menyerang API target secara langsung. Saat ini adalah saat yang tepat untuk mulai membuat kesadaran atas meningkatnya risiko ini.

API memainkan peranan penting dalam arsitektur mikroservice modern, Single Page Applications (SPA), aplikasi mobile, IoT, dsb. OWASP API Security
Top 10 adalah upaya yang dibutuhkan untuk menciptakan kesadaran mengenai isu-isu keamanan API modern.

Pembaruan ini hanya dimungkinkan berkat usaha besar beberapa sukarelawan yang tercantum dalam bagian  [Ucapan Terima Kasih][4] section.

Thank you!

[1]: https://owasp.org/www-project-api-security/announcements/cfd/2022/
[2]: ./0xd0-about-data.md
[3]: ./0x10-api-security-risks.md
[4]: ./0xd1-acknowledgments.md
OWASP API Security Top 10: 0x10 api security risks

# Risiko Keamanan API

[Metodologi Pemeringkatan Risiko OWASP][1] digunakan untuk melakukan analisis risiko.

Tabel berikut merangkum istilah yang diasosiasikan dengan nilai risiko.

| Agen Ancaman | Eksploitasi | Prevalensi Kelemahan | Deteksi Kelemahan | Dampak Teknikal | Dampak Bisnis |
| :-: | :-: | :-: | :-: | :-: | :-: |
| Spesifik API | Mudah : **3** | Tersebar luas **3** | Mudah **3** | Severe **3** | Spesifik Bisnis |
| Spesifik API | Menengah: **2** | Umum **2** | Menengah **2** | Sedang **2** | Spesifik Bisnis |
| Spesifik API | Sukar: **1** | Sukar **1** | Sukar **1** | Minor **1** | Spesifik Bisnis |

**Catatan**: Pendekatan ini tidak mempertimbangkan kemungkinan agen ancaman, dan juga tidak mempertimbangkan berbagai rincian teknikal yang terkait dengan aplikasi anda. Semua faktor ini dapat secara signifikan mempengaruhi kemungkinan penyerang menemukan dan mengeksploitasi kerentanan tertentu. Pemeringkatan ini tidak mempertimbangkan dampak aktual terhadap bisnis anda. Organisasi anda perlu menentukan tingkat risiko keamanan aplikasi dan API yang dapat diterima berdasarkan budaya, industri, dan lingkungan regulasi anda.  OWASP API Security Top
10 tidak bertujuan melakukan risiko analisis ini untuk anda. Oleh karena edisi ini bukan berdasarkan data, namun berdasarkan konsensus umum di antara anggota tim.

## Referensi

### OWASP

* [Metodologi Pemeringkatan Risiko OWASP][1]
* [Artikel tentang Pemodelan Ancaman/Risiko][2]

### Eksternal

* [ISO 31000: Risk Management Std][3]
* [ISO 27001: ISMS][4]
* [NIST Cyber Framework (US)][5]
* [ASD Strategic Mitigations (AU)][6]
* [NIST CVSS 3.0][7]
* [Microsoft Threat Modeling Tool][8]

[1]: https://owasp.org/www-project-risk-assessment-framework/
[2]: https://owasp.org/www-community/Threat_Modeling
[3]: https://www.iso.org/iso-31000-risk-management.html
[4]: https://www.iso.org/isoiec-27001-information-security.html
[5]: https://www.nist.gov/cyberframework
[6]: https://www.asd.gov.au/infosec/mitigationstrategies.htm
[7]: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator
[8]: https://www.microsoft.com/en-us/download/details.aspx?id=49168