Password deboli o predefinite
Credenziali facili da indovinare o lasciate ai valori iniziali.
home / risorse / vulnerabilità / A07
OWASP Top 10 2025 · posizione 7
Autenticazione e sessioni (OWASP A07)
L'identità non viene verificata abbastanza, o la sessione non è protetta. Nel 2025 il nome della categoria è stato reso più preciso.
cos'è
Chi entra deve essere chi dice di essere.
L'autenticazione verifica l'identità, la sessione mantiene l'accesso. Se una delle due è debole, l'accesso di un utente può essere preso da un altro.
Il punto più trascurato è spesso il recupero della password: un reset più debole del login rende inutile il login forte.
forme comuni
Quattro situazioni frequenti.
Nessun limite ai tentativi
Il login accetta infiniti tentativi senza rallentamenti né blocchi.
Reset che rivela o non scade
Il recupero conferma se un account esiste, oppure il link resta valido troppo a lungo.
Sessioni che non finiscono
La sessione non scade, o resta attiva dopo il logout.
impatto tipico
Cosa può succedere all'azienda.
Account compromessi
Un utente accede a dati e funzioni che appartengono a un altro.
Furto di sessione
Una sessione valida nelle mani sbagliate dà accesso completo.
Accesso amministrativo
Un account con privilegi compromesso apre l'intera applicazione.
Accessi non ricostruibili
Senza log di accesso non si sa quali account sono stati usati.
come lo verifichiamo
Si revisionano i flussi, uno per uno.
Login
Si verificano limiti ai tentativi, messaggi di errore e requisiti della password.
Recupero password
Si controllano messaggi, durata dei link e invalidazione dopo l'uso.
Sessioni
Si verifica scadenza, invalidazione al logout e comportamento dopo un cambio di password.
Revisione
Una persona valuta la gravità in base ai ruoli coinvolti.
come si corregge
Un flusso forte in ogni punto.
Da fare
- Autenticazione a più fattori per i ruoli sensibili
- Limiti ai tentativi e blocchi graduali
- Sessioni con scadenza e invalidazione al logout
- Token di reset con scadenza breve e uso singolo
Da evitare
- Password predefinite o riutilizzate tra servizi
- Messaggi che confermano se un account esiste
- Reset più deboli del login
Il login forte non basta. Un attaccante non passa dal login: passa dal recupero password, dalla sessione o da un account dimenticato. Ogni flusso va verificato.
Vuoi verificare login, recupero e sessioni?
La revisione dei flussi di accesso è parte del test OWASP Top 10.