Sicurezza
Sicurezza secondo OWASP ASVS 5.0
Valutiamo Complass rispetto allo standard internazionale per le applicazioni web sicure e rendiamo pubblico il nostro stato. Vengono conteggiati solo i requisiti implementati integralmente.
Stato per livello
Stato al 21.10.2026, versione 2.15 · autovalutazione, tenuta nel registro dei controlli
- Level 1 · Protezione di base 98 % implementato 61 su 62 implementati
- Level 2 · Standard per i dati aziendali 97 % implementato 197 di 203 requisiti applicabili attuati, 2 rischi residui accettati consapevolmente (non conteggiati)
- Level 3 · Applicazioni ad alta criticità 85 % implementato Facoltativo, oltre lo standard. Il livello 3 è pensato per sistemi come i pagamenti. Stato al 21.10.2026
- 203Requisiti livelli 1 e 2
- 197di cui completamente attuati
- > 10,000test automatici a ogni modifica
- 21.10.2026ultima valutazione
Eccezioni motivate (non conteggiate come soddisfatte)
-
Lunghezza delle chiavi di fornitori terzi (V11.2.3, livello 2): RSA-2048 di provider di identità e dispositivi passkey – ammesso secondo NIST SP 800-131A fino a fine 2030.
Perché?
Complass stesso cifra ovunque con almeno 128 bit di sicurezza (chiavi a 256 bit). I provider di identità come Microsoft o Google e molti dispositivi passkey firmano però con RSA-2048 (112 bit). Accettiamo queste chiavi secondo NIST SP 800-131A fino a fine 2030; dal 2031 richiediamo almeno RSA-3072. Se rifiutassimo RSA-2048 oggi, l’accesso tramite SSO e passkey non sarebbe più possibile.
-
Chiavi segrete senza un vault separato (V13.3.1, livello 2): archiviate come file cifrati su una partizione dati dedicata invece che in un servizio vault.
Perché?
Le chiavi segrete sono archiviate cifrate su una partizione dati dedicata, leggibili solo dai due servizi che ne hanno bisogno. Su un singolo server, un vault separato per le chiavi non offre alcuna protezione aggiuntiva.
Aree valutate
Tutti i 17 capitoli dello standard sono valutati.
- Codifica e sanificazione
- Validazione e logica di business
- Frontend web
- API e servizi web
- Gestione dei file
- Autenticazione
- Sessioni
- Autorizzazione
- Token
- OAuth e OIDC
- Crittografia
- Comunicazione sicura
- Configurazione
- Protezione dei dati
- Sviluppo sicuro
- Registrazione degli eventi
- WebRTC
Ogni requisito con stato e prova
Per clienti, interessati con accordo di riservatezza e revisori, nel Trust Center.
Richiedi l’accesso al Trust CenterCosa significa “non applicabile”?
Alcuni requisiti riguardano tecnologie che Complass non utilizza, ad esempio LDAP, LaTeX o WebRTC. Non contano né come implementati né come aperti.
Come vengono conteggiati i livelli?
Il livello 2 comprende tutti i requisiti del livello 1. Il valore del livello 2 conteggia quindi insieme i livelli 1 e 2.
Cosa significa per voi
Dieci cose che stanno dietro i numeri. Per ognuna vedete quanti requisiti sottostanti sono attuati nel registro dei controlli.
-
Accesso come in banca
MFA per tutti, passkey, protezione da password indovinate o già trapelate e blocco contro i tentativi ripetuti.
Per voi questo significa: Una password rubata da sola non apre alcun account.
V6 · 31 su 31 requisiti attuati
-
Sessioni che nessuno può rubare
Cookie sicuri, disconnessione su tutti i dispositivi e nuova conferma per le azioni critiche.
Per voi questo significa: Una finestra del browser dimenticata non diventa una porta d’ingresso.
V7 · 18 su 18 requisiti attuati
-
Ciascuno vede solo ciò che gli è consentito
Separazione rigorosa delle aziende, diritti per persona e area, verificati sul server.
Per voi questo significa: Consulenti, fornitori e auditor vedono solo ciò che autorizzate.
V8 · 7 su 7 requisiti attuati
-
I vostri dati cifrati, anche per noi
Chiave propria per cliente; accesso da parte nostra solo con la vostra autorizzazione a tempo; in caso di cancellazione la chiave viene distrutta.
Per voi questo significa: Nemmeno noi accediamo ai vostri contenuti senza la vostra autorizzazione.
V11 · V14 · 20 su 22 requisiti attuati
-
Upload senza rischi
I file vengono controllati, analizzati alla ricerca di malware e archiviati in forma cifrata al di fuori della directory accessibile pubblicamente.
Per voi questo significa: Un documento manipolato non diventa un pericolo per il vostro team.
V5 · 9 su 9 requisiti attuati
-
Trasmesso in modo sicuro
Connessioni cifrate con HSTS, server proprio in Germania, connessioni in uscita solo via https verso indirizzi pubblici.
Per voi questo significa: I vostri dati restano sotto controllo in transito e in esercizio.
V12 · V13 · 17 su 19 requisiti attuati
-
Registrato in modo tracciabile
Una catena di verifica contro le modifiche successive e un registro che copre anche gli accessi in lettura.
Per voi questo significa: Vedete chi ha fatto cosa e quando, e potete mostrarlo a un auditor.
V16 · 15 su 16 requisiti attuati
-
Protezione dagli attacchi tipici
Gli input vengono verificati e gli output codificati; protezione contro l’iniezione di codice, le richieste contraffatte (CSRF) e gli accessi a destinazioni interne.
Per voi questo significa: Le vie d’attacco più comuni sono chiuse prima di essere sfruttate.
V1 · V2 · V3 · 47 su 48 requisiti attuati
-
Interfacce sicure
Accesso tramite API solo con chiave, ogni chiamata viene registrata.
Per voi questo significa: I collegamenti ai vostri strumenti non aprono alcuna porta secondaria.
V4 · 4 su 4 requisiti attuati
-
Costruito a regola d’arte
I controlli di sicurezza vengono eseguiti a ogni modifica e i test automatici bloccano il rilascio se uno fallisce.
Per voi questo significa: La sicurezza è parte dello sviluppo, non una mano di vernice alla fine.
V15 · 13 su 13 requisiti attuati
Autovalutazione con un registro dei controlli verificabile: auditor, clienti e interessati con accordo di riservatezza vedono ogni singolo requisito con stato ed evidenza nel Trust Center.
Pentest automatizzato
Il 24.10.2026 uno strumento di pentest automatizzato (OWASP ZAP) ha attaccato la versione completa di Complass per il go-live in un ambiente di test, non il sistema live. I rilievi e il loro stato sono riportati nel dossier di sicurezza.