معيار OWASP للتحقق من أمان التطبيقات

هذا العمل مرخّص بموجب رخصة المشاع الإبداعي نَسب المُصنَّف - المشاركة بالمثل 4.0 الدولية.

🎉🎉🎉 مرحبًا بكم في الإصدار 5.0 من ASVS! 🎉🎉🎉

تم إطلاقه مباشرة على المسرح في مؤتمر Global AppSec EU برشلونة 2025!

مقدمة

الهدف الأساسي لمشروع معيار OWASP للتحقق من أمان التطبيقات (ASVS) هو توفير معيار مفتوح لأمن التطبيقات لتطبيقات الويب وخدمات الويب بجميع أنواعها.

أُطلق المشروع في الأصل عام 2008 من خلال تعاون مجتمعي عالمي، ويحدد ASVS مجموعة شاملة من متطلبات الأمان لتصميم وتطوير واختبار تطبيقات وخدمات الويب الحديثة.

بعد إصدار ASVS 4.0 في عام 2019 وتحديثه الثانوي (v4.0.3) في عام 2021، يمثل الإصدار 5.0 إنجازًا مهمًا—وقد جرى تحديثه ليعكس أحدث التطورات في مجال أمن البرمجيات.

نعرب بامتنان عن تقديرنا للمنظمات التي دعمت المشروع سواء بتخصيص وقت كبير أو ماليًا على صفحة «الداعمون»!

يرجى تسجيل المشكلات إذا وجدت أي أخطاء أو كانت لديك أفكار. قد نطلب منك لاحقًا فتح طلب سحب بناءً على النقاش في المشكلة. كما أننا نبحث بنشاط عن ترجمات لفرع 5.n.

قادة المشروع والفريق العامل

يقود المشروع ثلاثة من قادة المشروع: Daniel Cuthbert وJosh Grossman وElar Lang.

ويُدعمهم الفريق العامل لـ ASVS والذي يتكون من Shanni Prutchi وRalph Andalis وMeghan Jacquot وIman Sharafaldin وRyan Armstrong وGabriel Corona وTobias Ahnoff وEden Yardeni.

أحدث إصدار مستقر - 5.0.0

أحدث إصدار مستقر هو الإصدار 5.0.0 (بتاريخ مايو 2025)، ويمكن العثور عليه في:

• OWASP Application Security Verification Standard 5.0.0 English (PDF)
• OWASP Application Security Verification Standard 5.0.0 English (Word)
• OWASP Application Security Verification Standard 5.0.0 English (CSV)
• OWASP Application Security Verification Standard 5.0.0 (فرع GitHub)

سيكون الفرع الرئيسي (master) لهذا المستودع دائمًا «الإصدار الأحدث غير المستقر» (bleeding edge) الذي قد يحتوي على تغييرات قيد التنفيذ أو تعديلات أخرى مفتوحة. سيكون الهدف من الإصدار التالي إصدارًا تصحيحيًا، الإصدار 5.0.1. للحصول على تفاصيل حول استراتيجية إصدار ASVS، راجع قسم استراتيجية الإصدار في CONTRIBUTING.md.

الترجمات

جهد مجتمع OWASP فيما يتعلق بالترجمات هو جهد يُبذل بأفضل ما يمكن. وبينما نبذل قصارى جهدنا لضمان صحة المحتوى من الناحية الهيكلية، لا يمكننا فعليًا فعل الكثير لضمان صحة الترجمات. نعتمد عليكم، أيها المجتمع، للمساعدة في جعل ASVS قابلاً للاستخدام قدر الإمكان في جميع أنحاء العالم، وتعد ترجمة الفرع الرئيسي إلى لغتكم أمرًا مهمًا للمشروع.

إذا كنت تعتقد أنك تستطيع المساعدة في الترجمات، أو حتى في التأكد من صحة قائمة الترجمات الحالية أدناه، فسيسعدنا انضمامك إلى المجتمع وجعل ASVS رائعًا للجميع. لمزيد من المعلومات حول ترجمة ASVS، راجع قسم الترجمات في CONTRIBUTING.md.

الترجمات المتاحة حاليًا:

• OWASP Application Security Verification Standard 5.0.0 Turkish (PDF) وصيغ أخرى. (بفضل Ata Seren)
• OWASP Application Security Verification Standard 5.0.0 Russian (PDF) وصيغ أخرى. (بفضل Khalina Daria وShnayder Eugenia وSmirnov Vyacheslav وMukovkin Dmitry وNadezhda وFomin Danil وSluzhevsky Anton وZolotarev Maxim وGorky Kirill وNosenko Aleksei)
• OWASP Application Security Verification Standard 5.0.0 French (PDF) وصيغ أخرى. (بفضل Cédric Lallier وAlexandre Joly وMichael Vacarella وSebastien Gioria وGabriel Corona)
• OWASP Application Security Verification Standard 5.0.0 Korean (PDF) وصيغ أخرى. (بفضل 박우현(Park WooHyun) و김용환(Kim YongHwan) و و و و و و و و و و و و و و و و)

يمكن العثور على الترجمات التاريخية لإصدارات v4.x في ملف TRANSLATIONS.md داخل مجلد 4.0.

كيفية الإشارة إلى متطلبات ASVS

لكل متطلب معرّف بالتنسيق <chapter>.<section>.<requirement>، حيث يكون كل عنصر رقمًا. على سبيل المثال، 1.11.3.

• تتوافق قيمة <chapter> مع الفصل الذي يأتي منه المتطلب؛ على سبيل المثال، جميع متطلبات 1.#.# مأخوذة من فصل «الترميز والتعقيم» (Encoding and Sanitization).
• تتوافق قيمة <section> مع القسم داخل ذلك الفصل الذي يظهر فيه المتطلب، على سبيل المثال: جميع متطلبات 1.2.# موجودة في قسم «منع الحقن» (Injection Prevention) من فصل «الترميز والتعقيم» (Encoding and Sanitization).
• تحدد قيمة <requirement> المتطلب المحدد داخل الفصل والقسم، على سبيل المثال، 1.2.5 والذي هو اعتبارًا من الإصدار 5.0.0 من هذا المعيار:

تحقق من أن التطبيق يحمي من حقن أوامر نظام التشغيل (OS command injection)، وأن استدعاءات نظام التشغيل تستخدم استعلامات OS مُعاملات (parameterized) أو تستخدم ترميزًا سياقيًا لمخرجات سطر الأوامر.

نظرًا لأن المعرّفات قد تتغير بين إصدارات المعيار، فمن الأفضل أن تستخدم المستندات أو التقارير أو الأدوات الأخرى التنسيق التالي: v<version>-<chapter>.<section>.<requirement>، حيث: 'version' هي علامة إصدار ASVS. على سبيل المثال: v5.0.0-1.2.5 سيكون مفهومًا على أنه يعني تحديدًا المتطلب الخامس في قسم «منع الحقن» (Injection Prevention) من فصل «الترميز والتعقيم» (Encoding and Sanitization) من الإصدار 5.0.0. (ويمكن تلخيص ذلك كـ v<version>-<requirement_identifier>.)

ملاحظة: يجب أن يكون الحرف v الذي يسبق رقم الإصدار في التنسيق صغيرًا دائمًا.

إذا تم استخدام المعرّفات دون تضمين عنصر v<version>، فيجب افتراض أنها تشير إلى أحدث محتوى لمعيار التحقق من أمان التطبيقات. ونظرًا لأن المعيار ينمو ويتغير، يصبح هذا الأمر إشكاليًا، ولهذا السبب يجب على الكتّاب أو المطورين تضمين عنصر الإصدار.

الترخيص

جميع محتوى المشروع مرخّص بموجب رخصة Creative Commons Attribution-Share Alike v4.0.