Sicurezza · evidenze
Una sicurezza che potete verificare
Verifichiamo Complass noi stessi, in modo continuo e con una documentazione tracciabile. Ciò che servizi indipendenti misurano dall’esterno potete verificarlo voi stessi con un clic.
Stato al 22.10.2026 · versione 2.05.2
Misurato da servizi indipendenti
Questi risultati sono forniti da servizi di verifica pubblici, non da noi. Il link mostra di volta in volta il risultato attuale del servizio.
-
Qualys SSL Labs A+
- Solo TLS 1.2 e 1.3
- HSTS per un anno, sottodomini inclusi
- Certificato valido, rinnovato automaticamente
-
Mozilla HTTP Observatory A+
- 12/12 test
- Content Security Policy rigorosa
- Protezione dall’incorporamento in altri siti
- Cookie sicuri
-
security.txt secondo RFC 9116 presente
- Contatto fisso per le segnalazioni di sicurezza
- Valido fino al 28.09.2027
- Tedesco e inglese
I voti mostrano il nostro stato al 22.10.2026. I servizi misurano proprietà del nostro sito web raggiungibili pubblicamente. Non lavorano per nostro conto e non rilasciano alcun sigillo.
Le nostre verifiche
Effettuiamo le verifiche internamente, con strumenti propri e senza consulenti esterni. Lo diciamo apertamente, perché significa: non verifichiamo una volta all’anno, ma a ogni modifica.
-
OWASP ASVS 5.0 Livelli da 1 a 3 · autovalutazione
- 98 % Level 1
- 93 % Level 2
- 85 % Level 3
Ogni requisito è valutato singolarmente rispetto al codice e all’operatività. Consideriamo un livello soddisfatto solo quando tutto è implementato.
Eccezioni motivate (non conteggiate come soddisfatte)
-
Lunghezza delle chiavi di fornitori terzi (V11.2.3, livello 2): RSA-2048 di provider di identità e dispositivi passkey – ammesso secondo NIST SP 800-131A fino a fine 2030.
Perché?
Complass stesso cifra ovunque con almeno 128 bit di sicurezza (chiavi a 256 bit). I provider di identità come Microsoft o Google e molti dispositivi passkey firmano però con RSA-2048 (112 bit). Accettiamo queste chiavi secondo NIST SP 800-131A fino a fine 2030; dal 2031 richiediamo almeno RSA-3072. Se rifiutassimo RSA-2048 oggi, l’accesso tramite SSO e passkey non sarebbe più possibile.
-
Scansioni automatiche a ogni modifica
- Analisi statica del codice
- Ricerca di segreti salvati per errore
- Tutti i componenti di terze parti verificati per vulnerabilità note
- Distinta dei componenti software (SBOM)
- Scansione dinamica dell’applicazione in esecuzione
-
Verifica di ogni nuova funzione prima di ogni rilascio
- Permessi
- Separazione dei clienti
- Input
10,000+ test automatici bloccano ogni rilascio se uno fallisce.
Che cos’è OWASP ASVS e che cosa significano i livelli 1, 2 e 3?
Lo standard
L’Application Security Verification Standard (ASVS) è uno standard di verifica aperto della OWASP Foundation, un’organizzazione senza scopo di lucro. In diverse centinaia di requisiti individuali stabilisce che cosa deve garantire un’applicazione web sicura: dall’accesso, dalle sessioni e dai permessi alla verifica degli input, fino alla cifratura e al logging. L’attuale versione 5.0 è stata pubblicata nel 2025.
I tre livelli
- Livello 1
- Protezione di base contro attacchi evidenti e facili da sfruttare. Il livello minimo per ogni applicazione.
- Livello 2
- Lo standard per le applicazioni con dati sensibili o critici per l’attività, ad esempio dati personali o documentazione sulla sicurezza delle informazioni. Si basa sul livello 1.
- Livello 3
- Il livello più alto, per sistemi particolarmente critici. Si basa sul livello 2.
Il nostro stato
OWASP ASVS 5.0: livello 1 98 % · livello 2 93 % · livello 3 85 % (autovalutazione, stato al 21.10.2026). Un’eccezione motivata, indicata apertamente. Come contiamo
Abbiamo valutato singolarmente ogni requisito dei livelli 1 e 2 rispetto al codice e all’esercizio di Complass e documentato un’evidenza per ciascun requisito. Ripetiamo la valutazione completa a ogni versione principale; a ogni release verifichiamo di nuovo i requisiti interessati.
Che cosa non è
Non è un certificato: OWASP non rilascia certificati e non verifica le applicazioni direttamente. La nostra dichiarazione è un’autovalutazione di Complass.
L’associazione dettagliata per ogni requisito con attuazione, evidenza e passi di verifica è contenuta nel nostro dossier di sicurezza, che clienti e potenziali clienti ricevono dopo la stipula di un accordo di riservatezza. Scriveteci a info@complass.eu, oggetto “Sicherheitsdossier” (dossier di sicurezza).
Risultato in breve
Pubblichiamo un riepilogo sintetico. Non rendiamo pubbliche le singole risultanze, affinché nessuno possa sfruttarle.
- Nessuna risultanza critica aperta – in tutte le verifiche fino al 22.10.2026
- Ogni verifica è documentata – con data, ora e stato verificato, anche senza risultanze
- Hosting in Germania – server di Hetzner Online GmbH
- La cancellazione vale anche per i backup – chiave di backup propria per ogni cliente, distrutta con la cancellazione
Avvisi di sicurezza
Al momento non ci sono avvisi di sicurezza pubblicati. Segnalate le vulnerabilità a security@complass.de (vedi security.txt).
Come verifichiamo
Tutte le indicazioni di questa pagina si basano su verifiche proprie o su servizi di verifica pubblici. Complass non è certificata da un ente esterno.
| Tipo di verifica | Chi verifica | Cadenza |
|---|---|---|
| Valutazione secondo OWASP ASVS 5.0 | Complass, autovalutazione | Completa a ogni versione principale, requisiti interessati a ogni release |
| Scansioni statiche e dinamiche | Complass, automatizzato | A ogni modifica del codice |
| TLS, header, security.txt | Servizi di verifica pubblici | Dopo ogni release, sempre verificabile in autonomia |
Richiedere il rapporto di sicurezza e il dossier di sicurezza
Per la valutazione dei vostri fornitori: il rapporto di sicurezza, con le risposte alle domande consuete di un questionario di sicurezza, lo ricevete da noi senza accordo di riservatezza, emesso a nome della vostra azienda. Per audit e verifiche più approfondite esiste inoltre il dossier di sicurezza con attuazione, evidenza e passi di verifica per ogni requisito, dopo la stipula di un accordo di riservatezza. Scriveteci a info@complass.eu.
Oppure per e-mail a info@complass.eu.
Avete trovato una vulnerabilità? Scrivete a security@complass.de. Le indicazioni per la segnalazione si trovano nel nostro security.txt.