Segurança · evidências
Segurança que pode verificar
Nós próprios verificamos o Complass, de forma contínua e com documentação rastreável. O que serviços independentes medem a partir do exterior, pode verificar por si com um clique.
Estado: 22.10.2026 · versão 2.15
Medido por serviços independentes
Estes resultados são fornecidos por serviços de teste públicos, não por nós. Cada ligação mostra o resultado atual do serviço.
-
Qualys SSL Labs A+
- Apenas TLS 1.2 e 1.3
- HSTS durante um ano, incluindo subdomínios
- Certificado válido, renovado automaticamente
-
Mozilla HTTP Observatory A+
- 12/12 testes
- Content Security Policy rigorosa
- Proteção contra a incorporação noutros sites
- Cookies seguros
-
security.txt segundo a RFC 9116 presente
- Contacto fixo para comunicações de segurança
- Válido até 28.09.2027
- Alemão e inglês
As notas mostram o nosso estado a 22.10.2026. Os serviços medem propriedades do nosso site acessíveis publicamente. Não trabalham por nossa conta e não atribuem qualquer selo.
As nossas próprias verificações
Verificamo-nos a nós próprios, com ferramentas próprias e sem consultores externos. Dizemo-lo abertamente, porque significa que não verificamos uma vez por ano, mas a cada alteração.
-
OWASP ASVS 5.0 Níveis 1 a 3 · autoavaliação
- 98 % Level 1
- 97 % Level 2
- 85 % Level 3
Cada requisito avaliado individualmente face ao código e à operação. Só consideramos um nível cumprido quando tudo está implementado.
Exceções justificadas (não contadas como cumpridas)
-
Comprimento de chave de fornecedores externos (V11.2.3, nível 2): RSA-2048 de fornecedores de identidade e dispositivos passkey – permitido segundo NIST SP 800-131A até ao fim de 2030.
Porquê?
O próprio Complass cifra de forma consistente com pelo menos 128 bits de segurança (chaves de 256 bits). Fornecedores de identidade como Microsoft ou Google e muitos dispositivos passkey assinam, no entanto, com RSA-2048 (112 bits). Aceitamos estas chaves de acordo com NIST SP 800-131A até ao fim de 2030; a partir de 2031 exigimos pelo menos RSA-3072. Se rejeitássemos hoje o RSA-2048, o início de sessão por SSO e passkey deixaria de ser possível.
-
Chaves secretas sem cofre de chaves separado (V13.3.1, nível 2): guardadas como ficheiros cifrados numa partição de dados própria em vez de num serviço de cofre.
Porquê?
As chaves secretas são guardadas cifradas numa partição de dados própria, legíveis apenas pelos dois serviços que delas precisam. Num único servidor, um cofre de chaves separado não acrescenta proteção.
-
Verificações automáticas a cada alteração
- Análise estática do código
- Pesquisa de credenciais guardadas por engano
- Todos os componentes de terceiros verificados quanto a vulnerabilidades conhecidas
- Lista de materiais do software (SBOM)
- Análise dinâmica da aplicação em execução
-
Teste de intrusão próprio antes de cada versão
Antes de cada lançamento atacamos deliberadamente a nova versão: separação de clientes, permissões, início de sessão e novas funções. Os testes decorrem num ambiente de teste com dados de demonstração.
Último teste: versão 2.06, outubro 2026
- Nenhuma constatação crítica ou alta
- Média: 1 · Baixa: 5 – todas corrigidas antes da entrega e verificadas novamente
-
Verificação de cada nova funcionalidade antes de cada release
- Permissões
- Separação de clientes
- Entradas
10,000+ testes automáticos bloqueiam cada entrega se um falhar.
O que é o OWASP ASVS e o que significam os níveis 1, 2 e 3?
A norma
O Application Security Verification Standard (ASVS) é uma norma de verificação aberta da OWASP Foundation, sem fins lucrativos. Em várias centenas de requisitos individuais, define o que uma aplicação web segura tem de cumprir: do início de sessão, sessões e permissões à validação de entradas, cifragem e Logging. A versão atual 5.0 foi publicada em 2025.
Os três níveis
- Nível 1
- Proteção de base contra ataques óbvios e fáceis de explorar. O mínimo para qualquer aplicação.
- Nível 2
- O nível padrão para aplicações com dados sensíveis ou críticos para o negócio, como dados pessoais ou documentação de segurança da informação. Assenta no nível 1.
- Nível 3
- O nível mais elevado, para sistemas especialmente críticos. Assenta no nível 2.
O nosso estado
OWASP ASVS 5.0: nível 1 98 % · nível 2 97 % · nível 3 85 % (autoavaliação, situação em 21.10.2026). Acresce um teste de intrusão automatizado em 24.10.2026. Duas exceções justificadas, indicadas abertamente. Como contamos
Avaliámos individualmente cada requisito dos níveis 1 e 2 face ao código e à operação do Complass e registámos uma evidência por requisito. Repetimos a avaliação completa a cada versão principal; a cada release, voltamos a verificar os requisitos afetados.
O que não é
Não é um certificado: a OWASP não emite certificados nem verifica aplicações por si própria. A nossa indicação é uma autoavaliação do Complass.
A correspondência detalhada por requisito, com implementação, evidência e passos de verificação, consta do nosso dossiê de segurança, que clientes e interessados recebem após a celebração de um acordo de confidencialidade. Escreva-nos para info@complass.eu, assunto «Sicherheitsdossier» (dossiê de segurança).
Resultado em resumo
Publicamos um resumo breve. Não divulgamos publicamente constatações individuais, para que ninguém as possa explorar.
- Sem constatações críticas em aberto – em todas as verificações até 22.10.2026
- Cada verificação documentada – com data, hora e estado verificado, mesmo sem constatação
- Alojamento na Alemanha – servidores da Hetzner Online GmbH
- A eliminação abrange também os backups – chave de cópia própria por cliente, destruída com a eliminação
Avisos de segurança
De momento não existem avisos de segurança publicados. Comunique vulnerabilidades para security@complass.de (ver security.txt).
Como verificamos
Todas as indicações nesta página baseiam-se em verificações próprias ou em serviços de teste públicos. O Complass não é certificado por uma entidade externa.
| Tipo de verificação | Quem verifica | Frequência |
|---|---|---|
| Avaliação segundo o OWASP ASVS 5.0 | Complass, autoavaliação | Completa a cada versão principal, requisitos afetados a cada release |
| Verificações estáticas e dinâmicas | Complass, automatizado | A cada alteração ao código |
| Teste de intrusão próprio | Complass, ambiente de teste com dados de demonstração | Antes de cada versão |
| TLS, cabeçalhos, security.txt | Serviços de teste públicos | Após cada release, verificável por si em qualquer momento |
Pedir o relatório de segurança e o dossiê de segurança
Dois documentos, conforme a profundidade da sua análise.
-
Relatório de segurança sem NDA
Para a sua avaliação de fornecedores: respostas às perguntas habituais de um questionário de segurança, emitidas em nome da sua empresa.
Solicitar o relatório de segurança -
Dossiê e relatório do teste de intrusão sob NDA
Para auditorias e análises técnicas: cada medida de segurança com implementação, evidência e passos de verificação. Além disso, o relatório do último teste de intrusão (versão 2.06, outubro 2026) com todas as constatações em detalhe.
Após a celebração de um acordo de confidencialidade.
Pedir o dossiê e o relatório do teste de intrusão
Ou por e-mail para info@complass.eu.
Encontrou uma vulnerabilidade de segurança? Escreva para security@complass.de. As indicações para a comunicação constam do nosso security.txt.