Seguridad
Seguridad según OWASP ASVS 5.0
Evaluamos Complass frente al estándar internacional para aplicaciones web seguras y hacemos público nuestro estado. Solo se cuentan los requisitos implementados por completo.
Estado por nivel
Estado a 21.10.2026, versión 2.05.2 · autoevaluación, llevada en el registro de controles
- Level 1 · Protección básica 98 % implementado 61 de 62 implementados
- Level 2 · Estándar para datos empresariales 93 % implementado 188 de 203 requisitos aplicables implementados, 1 riesgo residual aceptado deliberadamente (no contabilizado)
- Level 3 · Aplicaciones de alta criticidad 85 % implementado Voluntario, más allá del estándar. El nivel 3 está pensado para sistemas como los pagos. Estado a 21.10.2026
- 203Requisitos de nivel 1 y 2
- 188de ellos, completamente implementados
- > 10,000pruebas automáticas por cada cambio
- 21.10.2026última evaluación
Excepciones justificadas (no contadas como cumplidas)
-
Longitud de clave de proveedores externos (V11.2.3, nivel 2): RSA-2048 de proveedores de identidad y dispositivos passkey – admitido según NIST SP 800-131A hasta finales de 2030.
¿Por qué?
Complass cifra por sí mismo en todo momento con al menos 128 bits de seguridad (claves de 256 bits). Los proveedores de identidad como Microsoft o Google y muchos dispositivos passkey firman, sin embargo, con RSA-2048 (112 bits). Aceptamos estas claves conforme a NIST SP 800-131A hasta finales de 2030; a partir de 2031 exigimos al menos RSA-3072. Si rechazáramos RSA-2048 hoy, el inicio de sesión con SSO y passkey ya no sería posible.
Áreas evaluadas
Los 17 capítulos del estándar están evaluados.
- Codificación y saneamiento
- Validación y lógica de negocio
- Interfaz web
- API y servicios web
- Procesamiento de archivos
- Autenticación
- Sesiones
- Autorización
- Tokens
- OAuth y OIDC
- Criptografía
- Comunicación segura
- Configuración
- Protección de datos
- Desarrollo seguro
- Registro de eventos
- WebRTC
Cada requisito con su estado y su prueba
Para clientes, interesados con acuerdo de confidencialidad y auditores, en el Trust Center.
Solicitar acceso al Trust Center¿Qué significa «no aplicable»?
Algunos requisitos se refieren a tecnología que Complass no utiliza, por ejemplo LDAP, LaTeX o WebRTC. No cuentan ni como implementados ni como abiertos.
¿Cómo se cuentan los niveles?
El nivel 2 incluye todos los requisitos del nivel 1. Por ello, la cifra del nivel 2 cuenta los niveles 1 y 2 conjuntamente.
Lo que esto significa para usted
Diez cosas que hay detrás de las cifras. En cada una verá cuántos requisitos subyacentes están implementados en el registro de controles.
-
Inicio de sesión como en un banco
MFA para todos, passkeys, protección frente a contraseñas adivinadas o ya filtradas y bloqueo contra ataques de brute force.
Para usted esto significa: Una contraseña robada por sí sola no abre ninguna cuenta.
V6 · 31 de 31 requisitos implementados
-
Sesiones que nadie puede secuestrar
Cookies seguras, cierre de sesión en todos los dispositivos y nueva confirmación en acciones críticas.
Para usted esto significa: Una ventana del navegador olvidada no se convierte en una vía de entrada.
V7 · 18 de 18 requisitos implementados
-
Cada persona ve solo lo que puede
Separación estricta de las empresas, derechos por persona y área, comprobados en el servidor.
Para usted esto significa: Los asesores, proveedores y auditores solo ven lo que usted autoriza.
V8 · 7 de 7 requisitos implementados
-
Sus datos cifrados, también frente a nosotros
Clave propia por cliente; acceso por nuestra parte solo con su autorización temporal; al eliminar los datos se destruye la clave.
Para usted esto significa: Ni siquiera nosotros accedemos a sus contenidos sin su autorización.
V11 · V14 · 19 de 22 requisitos implementados
-
Subida de archivos sin riesgos
Los archivos se comprueban, se analizan en busca de malware y se almacenan cifrados fuera del directorio de acceso público.
Para usted esto significa: Un documento manipulado no se convierte en un peligro para su equipo.
V5 · 8 de 9 requisitos implementados
-
Transmitido de forma segura
Conexiones cifradas con HSTS, servidor propio en Alemania, conexiones salientes solo por https hacia direcciones públicas.
Para usted esto significa: Sus datos permanecen bajo control durante la transmisión y en el servicio.
V12 · V13 · 13 de 19 requisitos implementados
-
Todo queda registrado y es trazable
Una cadena de verificación frente a modificaciones posteriores y un registro que también cubre los accesos de lectura.
Para usted esto significa: Usted ve quién hizo qué y cuándo, y puede mostrárselo a un auditor.
V16 · 14 de 16 requisitos implementados
-
Protección frente a ataques típicos
Las entradas se validan y las salidas se codifican; protección frente a la inyección de código, las solicitudes falsificadas (CSRF) y el acceso a destinos internos.
Para usted esto significa: Las vías de ataque más habituales están cerradas antes de que se utilicen.
V1 · V2 · V3 · 47 de 48 requisitos implementados
-
Interfaces seguras
Acceso a través de la API solo con clave, cada llamada se registra.
Para usted esto significa: Las conexiones con sus herramientas no abren ninguna puerta trasera.
V4 · 2 de 4 requisitos implementados
-
Desarrollado con rigor
Las comprobaciones de seguridad se ejecutan en cada cambio y las pruebas automáticas bloquean la entrega si alguna falla.
Para usted esto significa: La seguridad forma parte del desarrollo, no un añadido de última hora.
V15 · 13 de 13 requisitos implementados
Autoevaluación con un registro de controles verificable: auditores, clientes e interesados con acuerdo de confidencialidad ven cada requisito con su estado y su evidencia en el Trust Center.