Il Top 10 della sicurezza API di OWASP è una tassonomia dei rischi per le classi più importanti di debolezze nelle API che i difensori dovrebbero testare. Raggruppa modalità di errore comuni come broken object level authorization, broken function level authorization, autenticazione debole ed esposizione eccessiva dei dati. L'obiettivo non è descrivere ogni bug, ma aiutare i team a concentrarsi sui difetti che più spesso trasformano le API in perdite di dati o canali di controllo.
Nella pratica, il Top 10 viene usato come checklist per revisioni di sicurezza, scanner e test autenticati. Un difensore può confrontare due identità utente, sondare endpoint nascosti o verificare che un account non possa leggere o modificare gli oggetti di un altro account. È importante perché molti attacchi alle API sono fallimenti di autorizzazione piuttosto che exploit di rete: la richiesta è valida, ma la regola di business è sbagliata. Mappare i test al Top 10 aiuta i team a trovare questi problemi prima degli attaccanti.