Beveiliging · bewijs
Beveiliging die u kunt controleren
Wij toetsen Complass zelf, doorlopend en navolgbaar gedocumenteerd. Wat onafhankelijke diensten van buitenaf meten, kunt u met één klik zelf controleren.
Stand: 22.10.2026 · versie 2.05.2
Gemeten door onafhankelijke diensten
Deze resultaten komen van openbare testdiensten, niet van ons. De link toont telkens het actuele resultaat van de dienst.
-
Qualys SSL Labs A+
- Alleen TLS 1.2 en 1.3
- HSTS voor één jaar, inclusief subdomeinen
- Certificaat geldig, automatisch vernieuwd
-
Mozilla HTTP Observatory A+
- 12/12 tests
- Strikte Content Security Policy
- Bescherming tegen insluiting in andere sites
- Beveiligde cookies
-
security.txt volgens RFC 9116 aanwezig
- Vast contactpunt voor beveiligingsmeldingen
- Geldig tot 28.09.2027
- Duits en Engels
De cijfers tonen onze stand van 22.10.2026. De diensten meten openbaar bereikbare eigenschappen van onze website. Zij werken niet in onze opdracht en verlenen geen keurmerk.
Onze eigen controles
Wij toetsen onszelf, met eigen tools en zonder externe adviseurs. Dat zeggen wij openlijk, want het betekent: wij toetsen niet één keer per jaar, maar bij elke wijziging.
-
OWASP ASVS 5.0 Niveau 1 tot 3 · zelfbeoordeling
- 98 % Level 1
- 93 % Level 2
- 85 % Level 3
Elke eis afzonderlijk beoordeeld aan de code en de bedrijfsvoering. Een niveau noemen we pas behaald als alles is geïmplementeerd.
Gemotiveerde uitzonderingen (niet als voldaan meegeteld)
-
Sleutellengte van externe aanbieders (V11.2.3, niveau 2): RSA-2048 van identiteitsproviders en passkey-apparaten – toegestaan volgens NIST SP 800-131A tot eind 2030.
Waarom?
Complass zelf versleutelt overal met minstens 128 bit beveiliging (256-bit-sleutels). Identiteitsproviders zoals Microsoft of Google en veel passkey-apparaten ondertekenen echter met RSA-2048 (112 bit). Deze sleutels accepteren wij conform NIST SP 800-131A tot eind 2030; vanaf 2031 eisen wij minstens RSA-3072. Als wij RSA-2048 nu zouden weigeren, zou inloggen via SSO en passkey niet meer mogelijk zijn.
-
Automatische scans bij elke wijziging
- Statische code-analyse
- Zoeken naar per ongeluk opgeslagen geheimen
- Alle componenten van derden gecontroleerd op bekende kwetsbaarheden
- Softwarestuklijst (SBOM)
- Dynamische scan van de draaiende toepassing
-
Toetsing van elke nieuwe functie vóór elke vrijgave
- Rechten
- Scheiding van opdrachtgevers
- Invoer
10,000+ automatische tests blokkeren elke oplevering als er één faalt.
Wat is OWASP ASVS, en wat betekenen level 1, 2 en 3?
De standaard
De Application Security Verification Standard (ASVS) is een open toetsingsstandaard van de non-profitorganisatie OWASP Foundation. In enkele honderden afzonderlijke eisen legt hij vast wat een veilige webtoepassing moet kunnen: van aanmelden, sessies en rechten tot invoercontrole, versleuteling en logging. De actuele versie 5.0 is verschenen in 2025.
De drie levels
- Level 1
- Basisbescherming tegen voor de hand liggende, eenvoudig uit te buiten aanvallen. Het minimumniveau voor elke toepassing.
- Level 2
- De standaard voor toepassingen met gevoelige of bedrijfskritieke gegevens, zoals persoonsgegevens of documentatie over informatiebeveiliging. Bouwt voort op level 1.
- Level 3
- Het hoogste niveau, voor bijzonder kritieke systemen. Bouwt voort op level 2.
Onze stand
OWASP ASVS 5.0: niveau 1 98 % · niveau 2 93 % · niveau 3 85 % (zelfbeoordeling, stand 21.10.2026). Eén gemotiveerde uitzondering, openlijk vermeld. Zo tellen wij
Wij hebben elke eis van level 1 en 2 afzonderlijk beoordeeld aan de hand van de code en de bedrijfsvoering van Complass en per eis een bewijs vastgelegd. De beoordeling herhalen wij volledig per hoofdversie; bij elke release controleren wij de betrokken eisen opnieuw.
Wat het niet is
Geen certificaat: OWASP geeft geen certificaten uit en toetst toepassingen zelf niet. Onze verklaring is een zelfbeoordeling door Complass.
De uitgebreide toewijzing per eis met implementatie, bewijs en toetsstappen staat in ons beveiligingsdossier, dat klanten en geïnteresseerden ontvangen na het sluiten van een geheimhoudingsovereenkomst. Schrijf ons via info@complass.eu, onderwerp “Sicherheitsdossier” (beveiligingsdossier).
Resultaat in het kort
Wij publiceren een beknopte samenvatting. Afzonderlijke bevindingen noemen wij niet openbaar, zodat niemand ze kan uitbuiten.
- Geen openstaande kritieke bevindingen – over alle controles tot en met 22.10.2026
- Elke controle gedocumenteerd – met datum, tijd en gecontroleerde stand, ook zonder bevinding
- Hosting in Duitsland – servers van Hetzner Online GmbH
- Verwijdering geldt ook voor de backups – eigen backupsleutel per klant, vernietigd bij de verwijdering
Beveiligingsmeldingen
Er zijn momenteel geen gepubliceerde beveiligingsmeldingen. Meld kwetsbaarheden aan security@complass.de (zie security.txt).
Zo toetsen wij
Alle informatie op deze pagina berust op eigen controles of openbare testdiensten. Complass is niet gecertificeerd door een externe instantie.
| Soort controle | Wie toetst | Frequentie |
|---|---|---|
| Beoordeling volgens OWASP ASVS 5.0 | Complass, zelfbeoordeling | Volledig per hoofdversie, betrokken eisen per release |
| Statische en dynamische scans | Complass, geautomatiseerd | Bij elke wijziging in de code |
| TLS, headers, security.txt | Openbare testdiensten | Na elke release, op elk moment zelf te controleren |
Beveiligingsrapport en beveiligingsdossier aanvragen
Voor uw leveranciersbeoordeling: het beveiligingsrapport, met antwoorden op de gebruikelijke vragen van een beveiligingsvragenlijst, ontvangt u van ons zonder geheimhoudingsovereenkomst, op naam van uw bedrijf. Voor audits en diepgaandere toetsingen is er daarnaast het beveiligingsdossier met implementatie, bewijs en toetsstappen per eis, na het sluiten van een geheimhoudingsovereenkomst. Schrijf ons via info@complass.eu.
Of per e-mail naar info@complass.eu.
Beveiligingslek gevonden? Schrijf naar security@complass.de. Aanwijzingen voor het melden staan in onze security.txt.