Sicurezza
Sicurezza secondo OWASP ASVS 5.0
Valutiamo Complass rispetto allo standard internazionale per le applicazioni web sicure e rendiamo pubblico il nostro stato. Vengono conteggiati solo i requisiti implementati integralmente.
Stato per livello
Stato al 21.10.2026, versione 2.05.2 · autovalutazione, tenuta nel registro dei controlli
- Level 1 · Protezione di base 98 % implementato 61 su 62 implementati
- Level 2 · Standard per i dati aziendali 93 % implementato 188 di 203 requisiti applicabili attuati, 1 rischio residuo accettato consapevolmente (non conteggiato)
- Level 3 · Applicazioni ad alta criticità 85 % implementato Facoltativo, oltre lo standard. Il livello 3 è pensato per sistemi come i pagamenti. Stato al 21.10.2026
- 203Requisiti livelli 1 e 2
- 188di cui completamente attuati
- > 10,000test automatici a ogni modifica
- 21.10.2026ultima valutazione
Eccezioni motivate (non conteggiate come soddisfatte)
-
Lunghezza delle chiavi di fornitori terzi (V11.2.3, livello 2): RSA-2048 di provider di identità e dispositivi passkey – ammesso secondo NIST SP 800-131A fino a fine 2030.
Perché?
Complass stesso cifra ovunque con almeno 128 bit di sicurezza (chiavi a 256 bit). I provider di identità come Microsoft o Google e molti dispositivi passkey firmano però con RSA-2048 (112 bit). Accettiamo queste chiavi secondo NIST SP 800-131A fino a fine 2030; dal 2031 richiediamo almeno RSA-3072. Se rifiutassimo RSA-2048 oggi, l’accesso tramite SSO e passkey non sarebbe più possibile.
Aree valutate
Tutti i 17 capitoli dello standard sono valutati.
- Codifica e sanificazione
- Validazione e logica di business
- Frontend web
- API e servizi web
- Gestione dei file
- Autenticazione
- Sessioni
- Autorizzazione
- Token
- OAuth e OIDC
- Crittografia
- Comunicazione sicura
- Configurazione
- Protezione dei dati
- Sviluppo sicuro
- Registrazione degli eventi
- WebRTC
Ogni requisito con stato e prova
Per clienti, interessati con accordo di riservatezza e revisori, nel Trust Center.
Richiedi l’accesso al Trust CenterCosa significa “non applicabile”?
Alcuni requisiti riguardano tecnologie che Complass non utilizza, ad esempio LDAP, LaTeX o WebRTC. Non contano né come implementati né come aperti.
Come vengono conteggiati i livelli?
Il livello 2 comprende tutti i requisiti del livello 1. Il valore del livello 2 conteggia quindi insieme i livelli 1 e 2.
Cosa significa per voi
Dieci cose che stanno dietro i numeri. Per ognuna vedete quanti requisiti sottostanti sono attuati nel registro dei controlli.
-
Accesso come in banca
MFA per tutti, passkey, protezione da password indovinate o già trapelate e blocco contro i tentativi ripetuti.
Per voi questo significa: Una password rubata da sola non apre alcun account.
V6 · 31 su 31 requisiti attuati
-
Sessioni che nessuno può rubare
Cookie sicuri, disconnessione su tutti i dispositivi e nuova conferma per le azioni critiche.
Per voi questo significa: Una finestra del browser dimenticata non diventa una porta d’ingresso.
V7 · 18 su 18 requisiti attuati
-
Ciascuno vede solo ciò che gli è consentito
Separazione rigorosa delle aziende, diritti per persona e area, verificati sul server.
Per voi questo significa: Consulenti, fornitori e auditor vedono solo ciò che autorizzate.
V8 · 7 su 7 requisiti attuati
-
I vostri dati cifrati, anche per noi
Chiave propria per cliente; accesso da parte nostra solo con la vostra autorizzazione a tempo; in caso di cancellazione la chiave viene distrutta.
Per voi questo significa: Nemmeno noi accediamo ai vostri contenuti senza la vostra autorizzazione.
V11 · V14 · 19 su 22 requisiti attuati
-
Upload senza rischi
I file vengono controllati, analizzati alla ricerca di malware e archiviati in forma cifrata al di fuori della directory accessibile pubblicamente.
Per voi questo significa: Un documento manipolato non diventa un pericolo per il vostro team.
V5 · 8 su 9 requisiti attuati
-
Trasmesso in modo sicuro
Connessioni cifrate con HSTS, server proprio in Germania, connessioni in uscita solo via https verso indirizzi pubblici.
Per voi questo significa: I vostri dati restano sotto controllo in transito e in esercizio.
V12 · V13 · 13 su 19 requisiti attuati
-
Registrato in modo tracciabile
Una catena di verifica contro le modifiche successive e un registro che copre anche gli accessi in lettura.
Per voi questo significa: Vedete chi ha fatto cosa e quando, e potete mostrarlo a un auditor.
V16 · 14 su 16 requisiti attuati
-
Protezione dagli attacchi tipici
Gli input vengono verificati e gli output codificati; protezione contro l’iniezione di codice, le richieste contraffatte (CSRF) e gli accessi a destinazioni interne.
Per voi questo significa: Le vie d’attacco più comuni sono chiuse prima di essere sfruttate.
V1 · V2 · V3 · 47 su 48 requisiti attuati
-
Interfacce sicure
Accesso tramite API solo con chiave, ogni chiamata viene registrata.
Per voi questo significa: I collegamenti ai vostri strumenti non aprono alcuna porta secondaria.
V4 · 2 su 4 requisiti attuati
-
Costruito a regola d’arte
I controlli di sicurezza vengono eseguiti a ogni modifica e i test automatici bloccano il rilascio se uno fallisce.
Per voi questo significa: La sicurezza è parte dello sviluppo, non una mano di vernice alla fine.
V15 · 13 su 13 requisiti attuati
Autovalutazione con un registro dei controlli verificabile: auditor, clienti e interessati con accordo di riservatezza vedono ogni singolo requisito con stato ed evidenza nel Trust Center.