# OWASP ASVS krav: 345 krav i 17 kapitel förklarade

*2026-11-07*

> OWASP ASVS 5.0.0 innehåller 345 säkerhetskrav i 17 kapitel. Här förklarar vi hur du läser ett krav, väljer nivå och använder listan i utveckling och upphandling.

OWASP ASVS krav är de säkerhetskrav som listas i Application Security Verification Standard (ASVS), en öppen lista för webbapplikationer och webbtjänster. Senaste stabila version är 5.0.0, publicerad 30 maj 2025 enligt OWASP. Den innehåller 345 krav fördelade på 17 kapitel, och varje krav är märkt med en nivå: 1, 2 eller 3. Den här guiden förklarar vad OWASP ASVS krav består av, hur du läser ett enskilt krav och hur du använder listan i utveckling och vid upphandling.

## Vad är OWASP ASVS?

ASVS är ett projekt inom OWASP, en ideell förening som arbetar för säkerhet i programvara, främst webbprogram. Enligt [Wikipedia](https://sv.wikipedia.org/wiki/OWASP) är OWASP en global organisation som bedriver öppna projekt för att utveckla verktyg och metoder. ASVS har två uttalade syften. Det första är att ge utvecklare och applikationsägare en måttstock för hur stort förtroende deras webbapplikationer kan ha. Det andra är att ge utvecklare av säkerhetskontroller underlag om vad de ska bygga in för att uppfylla kraven. Standarden kan också användas vid upphandling, där kraven skrivs in i avtal som underlag för verifiering.

## Hur skiljer sig ASVS från OWASP Top 10?

OWASP Top 10 listar de vanligaste riskkategorierna i webbapplikationer. [Vad är OWASP Top 10?](https://owaspgbgday.se/artiklar/vad-ar-owasp-top-10) beskriver den listan. ASVS är ett kravdokument. Top 10 säger vilka fel som ofta förekommer. ASVS säger vad din applikation ska kunna visa, krav för krav. Om du vill veta vilka risker du ska prioritera börjar du med Top 10. Om du vill kunna verifiera att en applikation hanterar riskerna väljer du ASVS.

## De 17 kapitlen i ASVS 5.0.0

Kraven är grupperade i kapitel. Antalet krav per kapitel, enligt den CSV-fil som OWASP publicerar för version 5.0.0:

| Kapitel | Svenska | Antal krav |
| :--- | :--- | :--- |
| V1 | Kodning och sanering | 30 |
| V2 | Validering och affärslogik | 13 |
| V3 | Webbgränssnittets säkerhet | 31 |
| V4 | API och webbtjänster | 16 |
| V5 | Filhantering | 13 |
| V6 | Autentisering | 47 |
| V7 | Sessionshantering | 19 |
| V8 | Auktorisering | 13 |
| V9 | Självinnehållande token | 7 |
| V10 | OAuth och OIDC | 36 |
| V11 | Kryptografi | 24 |
| V12 | Säker kommunikation | 12 |
| V13 | Konfiguration | 21 |
| V14 | Dataskydd | 13 |
| V15 | Säker kodning och arkitektur | 21 |
| V16 | Loggning och felhantering | 17 |
| V17 | WebRTC | 12 |

Autentisering (V6) och OAuth och OIDC (V10) är de två största kapitlen. Tillsammans står de för 83 av de 345 kraven. Om din applikation har inloggning, sessioner eller externa identitetsleverantörer är det därför ofta där största delen av arbetet ligger.

## Nivåerna 1, 2 och 3

Varje krav har en nivå i kolumnen L. Fördelningen är 70 krav på nivå 1, 183 krav på nivå 2 och 92 krav på nivå 3. Att nivå 2 är störst innebär inte att den är rätt för alla. Vilken nivå du ska uppfylla beror på vad applikationen hanterar och vilka risker den utsätts för. De exakta definitionerna av nivåerna finns i standardens dokument på asvs.owasp.org, och bör läsas där innan du sätter ett mål för ditt projekt.

## Så läser du ett enskilt krav

Varje krav har ett ID med formatet kapitel.sektion.krav. Kravet V1.1.1 ligger alltså i kapitel 1 (V1), sektion 1.1 och är det första kravet i den sektionen. Kravtexten börjar med "Verify that" och beskriver vad som ska kontrolleras. Ett exempel från kapitel 1 lyder i engelsk originaltext: "Verify that input is decoded or unescaped into a canonical form only once, it is only decoded when encoded data in that form is expected, and that this is done before processing the input further." Kravet handlar alltså om att indata bara ska avkodas en gång, och att det sker innan vidare bearbetning. Det säger inte vilket bibliotek du ska använda.

När du refererar till ett krav, ange alltid versionen. ASVS skriver att ID:n kan ändras mellan versioner, så "ASVS 5.0.0 V1.1.1" är en säkrare referens än bara "V1.1.1".

## Så använder du listan i praktiken

1. Välj mål-nivå utifrån applikationens risk, och dokumentera valet.
2. Välj de kapitel som gäller för din applikation. En API-tjänst behöver V4, en app med inloggning behöver V6 och V7.
3. Gör en checklista där varje krav kopplas till en konkret verifiering: ett automatiserat test, en kodgranskning eller en manuell kontroll.
4. Exportera listan om du vill arbeta i ett verktyg. ASVS finns i CSV- och JSON-format, samt som PDF.
5. Ange vilken version du följer i projektdokumentationen och i upphandlingsunderlaget.

## Vanliga misstag

Det vanligaste misstaget är att läsa listan som en checklista utan att välja nivå. Då blir alla 345 krav lika viktiga, och teamet tappar överblicken. Ett annat misstag är att referera till kravnummer utan version, vilket gör att kravet kan peka på fel text när standarden uppdateras. Det tredje är att använda ASVS för att bevisa att en applikation är säker. ASVS är ett underlag för verifiering. Det bevisar inte säkerhet i sig.

## Vanliga frågor

**Är ASVS gratis?** Ja. Standarden går att ladda ner fritt från OWASP:s webbplats och GitHub-repo.

**Vilken version ska jag använda?** Den senaste stabila versionen enligt OWASP:s ASVS-sida är 5.0.0.

**Hur övar jag på att hitta fel i en applikation?** ASVS säger vad som ska verifieras. För praktisk övning mot riktiga sårbarheter finns [OWASP Juice Shop](https://owaspgbgday.se/artiklar/owasp-juice-shop), en medvetet osäker webbapplikation för utbildning.