Sécurité
Sécurité selon l’OWASP ASVS 5.0
Nous évaluons Complass par rapport à la norme internationale pour les applications web sécurisées et rendons publique notre situation. Seules les exigences entièrement mises en œuvre sont comptées.
État par niveau
État au 21.10.2026, version 2.05.2 · auto-évaluation, tenue dans le registre des contrôles
- Level 1 · Protection de base 98 % mis en œuvre 61 sur 62 mises en œuvre
- Level 2 · Norme pour les données d’entreprise 93 % mis en œuvre 188 sur 203 exigences applicables mises en œuvre, 1 risque résiduel délibérément accepté (non compté)
- Level 3 · Applications hautement critiques 85 % mis en œuvre Facultatif, au-delà de la norme. Le niveau 3 est conçu pour des systèmes tels que les paiements. État au 21.10.2026
- 203Exigences niveaux 1 et 2
- 188dont entièrement mises en œuvre
- > 10,000tests automatiques à chaque modification
- 21.10.2026dernier état d’évaluation
Exceptions justifiées (non comptées comme satisfaites)
-
Longueur de clé de fournisseurs tiers (V11.2.3, niveau 2) : RSA-2048 de fournisseurs d’identité et d’appareils passkey – admis selon NIST SP 800-131A jusqu’à fin 2030.
Pourquoi ?
Complass chiffre lui-même partout avec au moins 128 bits de sécurité (clés de 256 bits). Les fournisseurs d’identité comme Microsoft ou Google et de nombreux appareils passkey signent toutefois avec RSA-2048 (112 bits). Nous acceptons ces clés conformément à NIST SP 800-131A jusqu’à fin 2030 ; à partir de 2031, nous exigeons au moins RSA-3072. Si nous refusions RSA-2048 aujourd’hui, la connexion par SSO et par passkey ne serait plus possible.
Domaines évalués
Les 17 chapitres de la norme sont évalués.
- Encodage et assainissement
- Validation et logique métier
- Interface web
- API et services web
- Traitement des fichiers
- Authentification
- Sessions
- Autorisation
- Tokens
- OAuth et OIDC
- Cryptographie
- Communication sécurisée
- Configuration
- Protection des données
- Développement sécurisé
- Journalisation
- WebRTC
Chaque exigence avec son statut et sa preuve
Pour les clients, les prospects sous accord de confidentialité et les auditeurs, dans le Trust Center.
Demander l’accès au Trust CenterQue signifie « non applicable » ?
Certaines exigences concernent des technologies que Complass n’utilise pas, par exemple LDAP, LaTeX ou WebRTC. Elles ne comptent ni comme mises en œuvre ni comme ouvertes.
Comment les niveaux sont-ils comptés ?
Le niveau 2 comprend toutes les exigences du niveau 1. Le chiffre du niveau 2 compte donc les niveaux 1 et 2 ensemble.
Ce que cela signifie pour vous
Dix points qui se cachent derrière les chiffres. Pour chacun, vous voyez combien d’exigences correspondantes sont mises en œuvre dans le registre des contrôles.
-
Une connexion digne d’une banque
MFA pour tous, passkeys, protection contre les mots de passe faciles à deviner ou déjà divulgués et verrouillage contre les attaques par force brute.
Pour vous, cela signifie : Un mot de passe volé ne suffit pas à ouvrir un compte.
V6 · 31 exigences sur 31 mises en œuvre
-
Des sessions que personne ne peut reprendre
Cookies sécurisés, déconnexion sur tous les appareils et nouvelle confirmation pour les actions critiques.
Pour vous, cela signifie : Une fenêtre de navigateur oubliée ne devient pas une porte d’entrée.
V7 · 18 exigences sur 18 mises en œuvre
-
Chacun ne voit que ce qu’il a le droit de voir
Séparation stricte des entreprises, droits par personne et par domaine, vérifiés côté serveur.
Pour vous, cela signifie : Les conseillers, fournisseurs et auditeurs ne voient que ce que vous autorisez.
V8 · 7 exigences sur 7 mises en œuvre
-
Vos données chiffrées, même pour nous
Clé propre à chaque client ; accès de notre part uniquement avec votre autorisation limitée dans le temps ; en cas de suppression, la clé est détruite.
Pour vous, cela signifie : Même nous n’accédons pas à vos contenus sans votre autorisation.
V11 · V14 · 19 exigences sur 22 mises en œuvre
-
Téléversements sans risque
Les fichiers sont contrôlés, analysés à la recherche de logiciels malveillants et stockés chiffrés en dehors du répertoire accessible publiquement.
Pour vous, cela signifie : Un document manipulé ne devient pas un danger pour votre équipe.
V5 · 8 exigences sur 9 mises en œuvre
-
Transmis en toute sécurité
Connexions chiffrées avec HSTS, serveur propre en Allemagne, connexions sortantes uniquement en https vers des adresses publiques.
Pour vous, cela signifie : Vos données restent sous contrôle pendant le transfert et en exploitation.
V12 · V13 · 13 exigences sur 19 mises en œuvre
-
Traçable et journalisé
Une chaîne de contrôle contre les modifications ultérieures et un journal qui couvre aussi les accès en lecture.
Pour vous, cela signifie : Vous voyez qui a fait quoi et quand, et pouvez le montrer à un auditeur.
V16 · 14 exigences sur 16 mises en œuvre
-
Protection contre les attaques typiques
Les saisies sont contrôlées, les sorties encodées ; protection contre l’injection de code, les requêtes falsifiées (CSRF) et l’accès à des cibles internes.
Pour vous, cela signifie : Les voies d’attaque les plus courantes sont fermées avant d’être utilisées.
V1 · V2 · V3 · 47 exigences sur 48 mises en œuvre
-
Interfaces sécurisées
Accès via l’API uniquement avec une clé, chaque appel est journalisé.
Pour vous, cela signifie : Les connexions à vos outils n’ouvrent aucune porte dérobée.
V4 · 2 exigences sur 4 mises en œuvre
-
Développé dans les règles de l’art
Les contrôles de sécurité s’exécutent à chaque modification, et les tests automatiques bloquent la livraison si l’un d’eux échoue.
Pour vous, cela signifie : La sécurité fait partie du développement, pas un vernis appliqué à la fin.
V15 · 13 exigences sur 13 mises en œuvre
Auto-évaluation avec un registre des contrôles vérifiable : auditeurs, clients et prospects sous accord de confidentialité voient chaque exigence avec son statut et sa preuve dans le Trust Center.