Bezpieczeństwo
Bezpieczeństwo według OWASP ASVS 5.0
Oceniamy Complass względem międzynarodowego standardu bezpiecznych aplikacji internetowych i otwarcie pokazujemy nasz stan. Liczone są tylko w pełni wdrożone wymagania.
Stan według poziomów
Stan na 21.10.2026, wersja 2.05.2 · samoocena prowadzona w rejestrze kontroli
- Level 1 · Ochrona podstawowa 98 % wdrożone 61 z 62 wdrożonych
- Level 2 · Standard dla danych firmowych 93 % wdrożone 188 z 203 mających zastosowanie wymagań wdrożonych, 1 świadomie zaakceptowane ryzyko szczątkowe (nieuwzględnione w liczeniu)
- Level 3 · Aplikacje o wysokiej krytyczności 85 % wdrożone Dobrowolnie, ponad standard. Poziom 3 jest przeznaczony dla systemów takich jak płatności. Stan na 21.10.2026
- 203Wymagania poziomów 1 i 2
- 188z tego w pełni wdrożonych
- > 10,000testy automatyczne przy każdej zmianie
- 21.10.2026stan ostatniej oceny
Uzasadnione wyjątki (nieliczone jako spełnione)
-
Długość kluczy zewnętrznych dostawców (V11.2.3, poziom 2): RSA-2048 od dostawców tożsamości i urządzeń passkey – dopuszczalne według NIST SP 800-131A do końca 2030 r.
Dlaczego?
Sam Complass szyfruje konsekwentnie z co najmniej 128 bitami bezpieczeństwa (klucze 256-bitowe). Dostawcy tożsamości, tacy jak Microsoft czy Google, oraz wiele urządzeń passkey podpisuje jednak za pomocą RSA-2048 (112 bitów). Akceptujemy te klucze zgodnie z NIST SP 800-131A do końca 2030 r.; od 2031 r. wymagamy co najmniej RSA-3072. Gdybyśmy dziś odrzucali RSA-2048, logowanie przez SSO i passkey nie byłoby już możliwe.
Ocenione obszary
Wszystkie 17 rozdziałów standardu zostały ocenione.
- Kodowanie i sanityzacja
- Walidacja i logika biznesowa
- Frontend webowy
- API i usługi sieciowe
- Obsługa plików
- Uwierzytelnianie
- Sesje
- Autoryzacja
- Tokeny
- OAuth i OIDC
- Kryptografia
- Bezpieczna komunikacja
- Konfiguracja
- Ochrona danych
- Bezpieczne programowanie
- Rejestrowanie zdarzeń
- WebRTC
Każde wymaganie ze statusem i dowodem
Dla klientów, zainteresowanych objętych umową o poufności oraz audytorów, w Trust Center.
Poproś o dostęp do Trust CenterCo oznacza „nie dotyczy”?
Niektóre wymagania dotyczą technologii, której Complass nie używa, na przykład LDAP, LaTeX lub WebRTC. Nie liczą się ani jako wdrożone, ani jako otwarte.
Jak liczone są poziomy?
Poziom 2 obejmuje wszystkie wymagania poziomu 1. Wartość dla poziomu 2 liczy zatem poziomy 1 i 2 łącznie.
Co to oznacza dla Państwa
Dziesięć rzeczy stojących za liczbami. Przy każdej z nich widać, ile stojących za nią wymagań jest wdrożonych w rejestrze kontroli.
-
Logowanie jak w banku
Uwierzytelnianie dwuskładnikowe dla wszystkich, klucze dostępu, ochrona przed łatwymi do odgadnięcia i wyciekłymi hasłami oraz blokada przed zgadywaniem haseł.
Dla Państwa oznacza to: Samo skradzione hasło nie otwiera konta.
V6 · 31 z 31 wymagań wdrożonych
-
Sesje, których nikt nie przejmie
Bezpieczne pliki cookie, wylogowanie na wszystkich urządzeniach i ponowne potwierdzenie przy krytycznych działaniach.
Dla Państwa oznacza to: Zapomniane okno przeglądarki nie stanie się furtką dla atakującego.
V7 · 18 z 18 wymagań wdrożonych
-
Każdy widzi tylko to, do czego ma prawo
Ścisłe oddzielenie firm, uprawnienia dla osoby i obszaru, sprawdzane po stronie serwera.
Dla Państwa oznacza to: Doradcy, dostawcy i audytorzy widzą tylko to, co Państwo udostępnią.
V8 · 7 z 7 wymagań wdrożonych
-
Państwa dane zaszyfrowane, także przed nami
Własny klucz dla każdego klienta; wgląd z naszej strony tylko za Państwa czasowo ograniczoną zgodą; przy usunięciu danych klucz jest niszczony.
Dla Państwa oznacza to: Nawet my nie mamy dostępu do Państwa treści bez Państwa zgody.
V11 · V14 · 19 z 22 wymagań wdrożonych
-
Przesyłanie plików bez ryzyka
Pliki są sprawdzane, skanowane pod kątem złośliwego oprogramowania i zapisywane w postaci zaszyfrowanej poza publicznie dostępnym katalogiem.
Dla Państwa oznacza to: Zmanipulowany dokument nie stanie się zagrożeniem dla Państwa zespołu.
V5 · 8 z 9 wymagań wdrożonych
-
Bezpiecznie przesyłane
Szyfrowane połączenia z HSTS, własny serwer w Niemczech, połączenia wychodzące tylko przez https do adresów publicznych.
Dla Państwa oznacza to: Państwa dane pozostają pod kontrolą w transmisji i podczas eksploatacji.
V12 · V13 · 13 z 19 wymagań wdrożonych
-
Pełny ślad w dzienniku zdarzeń
Łańcuch kontrolny chroniący przed późniejszymi zmianami oraz dziennik obejmujący także dostęp do odczytu.
Dla Państwa oznacza to: Widzą Państwo, kto, co i kiedy zrobił, i mogą to pokazać audytorowi.
V16 · 14 z 16 wymagań wdrożonych
-
Ochrona przed typowymi atakami
Dane wejściowe są sprawdzane, wyjściowe kodowane; ochrona przed wstrzykiwaniem kodu, sfałszowanymi żądaniami (CSRF) i dostępem do zasobów wewnętrznych.
Dla Państwa oznacza to: Najczęstsze drogi ataku są zamknięte, zanim ktokolwiek z nich skorzysta.
V1 · V2 · V3 · 47 z 48 wymagań wdrożonych
-
Bezpieczne interfejsy
Dostęp przez API tylko z kluczem, każde wywołanie jest rejestrowane.
Dla Państwa oznacza to: Integracje z Państwa narzędziami nie otwierają tylnej furtki.
V4 · 2 z 4 wymagań wdrożonych
-
Solidnie zbudowane
Testy bezpieczeństwa uruchamiają się przy każdej zmianie, a testy automatyczne blokują wydanie, jeśli którykolwiek zakończy się niepowodzeniem.
Dla Państwa oznacza to: Bezpieczeństwo jest częścią tworzenia oprogramowania, a nie kosmetyką na końcu.
V15 · 13 z 13 wymagań wdrożonych
Samoocena z weryfikowalnym rejestrem kontroli: audytorzy, klienci i zainteresowane podmioty objęte umową o poufności widzą w Trust Center każde wymaganie ze statusem i dowodem.