Credenziali predefinite
Account di fabbrica o password iniziali ancora attive su servizi e pannelli.
home / risorse / vulnerabilità / A02
OWASP Top 10 2025 · posizione 2
Configurazioni di sicurezza errate (OWASP A02)
Il sistema non è configurato in modo sicuro: impostazioni di fabbrica, funzioni di debug lasciate attive, header mancanti. Nel 2025 è salita dal quinto al secondo posto.
cos'è
Spesso non è un errore di codice.
Una configurazione sbagliata è una scelta lasciata al valore predefinito. Il codice può essere corretto, e l'applicazione può comunque esporre ciò che non dovrebbe.
È una categoria che un test automatico copre bene, ma solo se la configurazione reale viene letta, non quella che si immagina.
forme comuni
Quattro situazioni in cui succede.
Debug attivo in produzione
Funzioni di diagnostica che restano accese e mostrano informazioni interne.
Messaggi di errore troppo chiari
Errori che rivelano percorsi, versioni o dettagli dell'infrastruttura.
Header e permessi mancanti
Intestazioni di sicurezza non impostate e permessi dei servizi cloud più ampi del necessario.
impatto tipico
Cosa può succedere all'azienda.
Pannelli di gestione esposti
Interfacce amministrative raggiungibili da chiunque conosca l'indirizzo.
Dati interni rivelati
Versioni e percorsi che facilitano attacchi successivi.
Ambienti di test raggiungibili
Ambienti pensati per lo sviluppo, con dati reali o accessi deboli.
Risorse cloud accessibili
Archivi o servizi leggibili da utenti esterni per un permesso sbagliato.
come lo verifichiamo
Si confronta la configurazione reale con un riferimento.
Inventario
Elenco dei servizi, dei pannelli e delle risorse cloud che il perimetro espone.
Confronto con un riferimento
Ogni impostazione è confrontata con una configurazione di riferimento concordata.
Raggiungibilità
Si verifica cosa è accessibile da un ruolo esterno, senza credenziali.
Revisione
Una persona valuta l'impatto di ogni scostamento.
come si corregge
La configurazione va controllata ogni volta che cambia.
Da fare
- Disattivare il debug in produzione
- Cambiare le credenziali di fabbrica prima dell'avvio
- Limitare i messaggi di errore a ciò che serve all'utente
- Controllare la configurazione con strumenti automatici a ogni rilascio
Da evitare
- Affidarsi ai valori predefiniti
- Ambienti di test raggiungibili da internet
- Permessi cloud ampi per comodità
Il controllo va fatto in produzione. Una configurazione verificata in sviluppo può essere diversa in produzione. Il report deve dire cosa è stato letto, e dove.
Vuoi una revisione della configurazione del tuo ambiente?
La revisione cloud e il test di infrastruttura partono dal perimetro firmato.