Beveiliging
Beveiliging volgens OWASP ASVS 5.0
Wij beoordelen Complass aan de hand van de internationale standaard voor veilige webapplicaties en leggen onze stand open. Alleen volledig geïmplementeerde eisen worden meegeteld.
Stand per niveau
Stand 21.10.2026, versie 2.05.2 · zelfbeoordeling, bijgehouden in het controleregister
- Level 1 · Basisbescherming 98 % geïmplementeerd 61 van 62 geïmplementeerd
- Level 2 · Standaard voor bedrijfsgegevens 93 % geïmplementeerd 188 van 203 toepasselijke eisen geïmplementeerd, 1 bewust geaccepteerd restrisico (niet meegeteld)
- Level 3 · Zeer kritieke toepassingen 85 % geïmplementeerd Vrijwillig, boven de standaard uit. Niveau 3 is bedoeld voor systemen zoals betalingsverkeer. Stand 21.10.2026
- 203Eisen op niveau 1 en 2
- 188waarvan volledig geïmplementeerd
- > 10,000automatische tests bij elke wijziging
- 21.10.2026stand van de laatste toetsing
Gemotiveerde uitzonderingen (niet als voldaan meegeteld)
-
Sleutellengte van externe aanbieders (V11.2.3, niveau 2): RSA-2048 van identiteitsproviders en passkey-apparaten – toegestaan volgens NIST SP 800-131A tot eind 2030.
Waarom?
Complass zelf versleutelt overal met minstens 128 bit beveiliging (256-bit-sleutels). Identiteitsproviders zoals Microsoft of Google en veel passkey-apparaten ondertekenen echter met RSA-2048 (112 bit). Deze sleutels accepteren wij conform NIST SP 800-131A tot eind 2030; vanaf 2031 eisen wij minstens RSA-3072. Als wij RSA-2048 nu zouden weigeren, zou inloggen via SSO en passkey niet meer mogelijk zijn.
Beoordeelde gebieden
Alle 17 hoofdstukken van de standaard zijn beoordeeld.
- Codering en opschoning
- Validatie en bedrijfslogica
- Web-frontend
- API en webdiensten
- Bestandsverwerking
- Authenticatie
- Sessies
- Autorisatie
- Tokens
- OAuth en OIDC
- Cryptografie
- Veilige communicatie
- Configuratie
- Gegevensbescherming
- Veilige ontwikkeling
- Logging
- WebRTC
Elke eis met status en bewijs
Voor klanten, geïnteresseerden met geheimhoudingsovereenkomst en auditors, in het Trust Center.
Toegang tot het Trust Center aanvragenWat betekent “niet van toepassing”?
Sommige eisen betreffen techniek die Complass niet gebruikt, zoals LDAP, LaTeX of WebRTC. Ze tellen niet mee als geïmplementeerd en ook niet als open.
Hoe worden de niveaus geteld?
Niveau 2 omvat alle eisen van niveau 1. Het cijfer bij niveau 2 telt daarom niveau 1 en 2 samen.
Wat dit voor u betekent
Tien dingen achter de cijfers. Bij elk ziet u hoeveel onderliggende eisen in het controleregister zijn geïmplementeerd.
-
Inloggen zoals bij een bank
MFA voor iedereen, passkeys, bescherming tegen te raden en reeds gelekte wachtwoorden en een blokkade tegen brute force.
Voor u betekent dit: Een gestolen wachtwoord alleen opent geen account.
V6 · 31 van 31 eisen geïmplementeerd
-
Sessies die niemand kan overnemen
Veilige cookies, afmelden op alle apparaten en opnieuw bevestigen bij kritieke acties.
Voor u betekent dit: Een vergeten browservenster wordt geen toegangspoort.
V7 · 18 van 18 eisen geïmplementeerd
-
Iedereen ziet alleen wat hij mag zien
Strikte scheiding van bedrijven, rechten per persoon en gebied, gecontroleerd op de server.
Voor u betekent dit: Adviseurs, leveranciers en auditors zien alleen wat u vrijgeeft.
V8 · 7 van 7 eisen geïmplementeerd
-
Uw gegevens versleuteld, ook voor ons
Eigen sleutel per klant; inzage door ons alleen met uw tijdelijke toestemming; bij verwijdering wordt de sleutel vernietigd.
Voor u betekent dit: Ook wij komen zonder uw toestemming niet bij uw inhoud.
V11 · V14 · 19 van 22 eisen geïmplementeerd
-
Uploads zonder risico
Bestanden worden gecontroleerd, gescand op malware en versleuteld opgeslagen buiten de openbaar bereikbare map.
Voor u betekent dit: Een gemanipuleerd document wordt geen gevaar voor uw team.
V5 · 8 van 9 eisen geïmplementeerd
-
Veilig verzonden
Versleutelde verbindingen met HSTS, eigen server in Duitsland, uitgaande verbindingen alleen via https naar openbare adressen.
Voor u betekent dit: Uw gegevens blijven onderweg en tijdens gebruik onder controle.
V12 · V13 · 13 van 19 eisen geïmplementeerd
-
Traceerbaar vastgelegd
Een controleketen tegen latere wijzigingen en een logboek dat ook leestoegang vastlegt.
Voor u betekent dit: U ziet wie wat wanneer heeft gedaan en kunt dat aan een auditor tonen.
V16 · 14 van 16 eisen geïmplementeerd
-
Bescherming tegen typische aanvallen
Invoer wordt gecontroleerd en uitvoer geëncodeerd; bescherming tegen code-injectie, vervalste verzoeken (CSRF) en toegang tot interne bestemmingen.
Voor u betekent dit: De meest voorkomende aanvalsroutes zijn dichtgemaakt voordat ze worden gebruikt.
V1 · V2 · V3 · 47 van 48 eisen geïmplementeerd
-
Veilige koppelvlakken
Toegang via de API alleen met een sleutel, elke aanroep wordt vastgelegd.
Voor u betekent dit: Koppelingen met uw tools openen geen achterdeur.
V4 · 2 van 4 eisen geïmplementeerd
-
Netjes gebouwd
Beveiligingscontroles draaien bij elke wijziging en de automatische tests blokkeren de uitrol als er één faalt.
Voor u betekent dit: Beveiliging is onderdeel van de ontwikkeling, geen verflaagje aan het eind.
V15 · 13 van 13 eisen geïmplementeerd
Zelfbeoordeling met een controleerbaar controleregister: auditors, klanten en geïnteresseerden onder geheimhoudingsovereenkomst zien elke afzonderlijke eis met status en bewijs in het Trust Center.