Bezpieczeństwo · dowody
Bezpieczeństwo, które mogą Państwo sprawdzić
Sami testujemy Complass, w sposób ciągły i z dokumentacją, którą można prześledzić. To, co niezależne usługi mierzą z zewnątrz, mogą Państwo sprawdzić samodzielnie jednym kliknięciem.
Stan: 22.10.2026 · wersja 2.05.2
Mierzone przez niezależne usługi
Te wyniki dostarczają publiczne usługi testowe, nie my. Link pokazuje każdorazowo aktualny wynik usługi.
-
Qualys SSL Labs A+
- Tylko TLS 1.2 i 1.3
- HSTS przez rok, łącznie z subdomenami
- Certyfikat ważny, odnawiany automatycznie
-
Mozilla HTTP Observatory A+
- 12/12 Testy
- Rygorystyczna Content Security Policy
- Ochrona przed osadzaniem na obcych stronach
- Bezpieczne pliki cookie
-
security.txt zgodnie z RFC 9116 dostępny
- Stały kontakt dla zgłoszeń dotyczących bezpieczeństwa
- Ważne do 28.09.2027
- Niemiecki i angielski
Oceny pokazują nasz stan z dnia 22.10.2026. Usługi mierzą publicznie dostępne właściwości naszej strony internetowej. Nie działają na nasze zlecenie i nie przyznają żadnego znaku jakości.
Nasze własne kontrole
Testujemy się sami, własnymi narzędziami i bez zewnętrznych doradców. Mówimy o tym otwarcie, ponieważ oznacza to: nie testujemy raz w roku, lecz przy każdej zmianie.
-
OWASP ASVS 5.0 Poziomy od 1 do 3 · samoocena
- 98 % Level 1
- 93 % Level 2
- 85 % Level 3
Każde wymaganie oceniono osobno względem kodu i działania. Poziom uznajemy za spełniony dopiero wtedy, gdy wszystko wdrożono.
Uzasadnione wyjątki (nieliczone jako spełnione)
-
Długość kluczy zewnętrznych dostawców (V11.2.3, poziom 2): RSA-2048 od dostawców tożsamości i urządzeń passkey – dopuszczalne według NIST SP 800-131A do końca 2030 r.
Dlaczego?
Sam Complass szyfruje konsekwentnie z co najmniej 128 bitami bezpieczeństwa (klucze 256-bitowe). Dostawcy tożsamości, tacy jak Microsoft czy Google, oraz wiele urządzeń passkey podpisuje jednak za pomocą RSA-2048 (112 bitów). Akceptujemy te klucze zgodnie z NIST SP 800-131A do końca 2030 r.; od 2031 r. wymagamy co najmniej RSA-3072. Gdybyśmy dziś odrzucali RSA-2048, logowanie przez SSO i passkey nie byłoby już możliwe.
-
Automatyczne skany przy każdej zmianie
- Statyczna analiza kodu
- Wyszukiwanie przypadkowo zapisanych sekretów
- Wszystkie komponenty zewnętrzne sprawdzone pod kątem znanych luk
- Wykaz składników oprogramowania (SBOM)
- Dynamiczne skanowanie działającej aplikacji
-
Przegląd każdej nowej funkcji przed każdym wydaniem
- Uprawnienia
- Rozdzielenie klientów
- Dane wejściowe
10,000+ testów automatycznych blokuje każde wydanie, jeśli któryś zawiedzie.
Czym jest OWASP ASVS i co oznaczają poziomy 1, 2 i 3?
Standard
Application Security Verification Standard (ASVS) to otwarty standard weryfikacji niekomercyjnej fundacji OWASP Foundation. W kilkuset pojedynczych wymaganiach określa, co musi zapewniać bezpieczna aplikacja internetowa: od logowania, sesji i uprawnień, przez obsługę danych wejściowych, po szyfrowanie i Logging. Aktualna wersja 5.0 ukazała się 2025.
Trzy poziomy
- Poziom 1
- Podstawowa ochrona przed oczywistymi, łatwymi do wykorzystania atakami. Minimum dla każdej aplikacji.
- Poziom 2
- Standard dla aplikacji z wrażliwymi lub krytycznymi dla działalności danymi, np. danymi osobowymi lub dokumentacją dotyczącą bezpieczeństwa informacji. Opiera się na poziomie 1.
- Poziom 3
- Najwyższy poziom dla szczególnie krytycznych systemów. Opiera się na poziomie 2.
Nasz stan
OWASP ASVS 5.0: poziom 1 98 % · poziom 2 93 % · poziom 3 85 % (samoocena, stan na 21.10.2026). Jeden uzasadniony wyjątek, wskazany otwarcie. Jak liczymy
Każde wymaganie poziomów 1 i 2 oceniliśmy indywidualnie względem kodu i działania Complass i dla każdego wymagania zapisaliśmy dowód. Pełną ocenę powtarzamy dla każdej wersji głównej; przy każdym wydaniu ponownie sprawdzamy dotknięte nim wymagania.
Czym to nie jest
To nie jest certyfikat: OWASP nie wydaje certyfikatów i sam nie testuje aplikacji. Nasza informacja jest samooceną Complass.
Szczegółowe przyporządkowanie dla każdego wymagania, z wdrożeniem, dowodem i krokami weryfikacji, zawiera nasze dossier bezpieczeństwa, które klienci i zainteresowani otrzymują po zawarciu umowy o zachowaniu poufności. Prosimy o wiadomość na adres info@complass.eu, temat „Sicherheitsdossier” (dossier bezpieczeństwa).
Wynik w skrócie
Publikujemy zwięzłe podsumowanie. Pojedynczych ustaleń nie podajemy publicznie, aby nikt nie mógł ich wykorzystać.
- Brak otwartych krytycznych ustaleń – we wszystkich kontrolach do 22.10.2026
- Każda kontrola udokumentowana – z datą, godziną i sprawdzanym stanem, także bez ustaleń
- Hosting w Niemczech – serwery Hetzner Online GmbH
- Usunięcie obejmuje też backupy – własny klucz kopii dla każdego klienta, niszczony wraz z usunięciem
Komunikaty bezpieczeństwa
Obecnie nie ma opublikowanych komunikatów bezpieczeństwa. Podatności prosimy zgłaszać na adres security@complass.de (zob. security.txt).
Jak testujemy
Wszystkie informacje na tej stronie opierają się na naszych własnych kontrolach lub publicznych usługach testowych. Complass nie jest certyfikowany przez podmiot zewnętrzny.
| Rodzaj kontroli | Kto testuje | Częstotliwość |
|---|---|---|
| Ocena wg OWASP ASVS 5.0 | Complass, samoocena | W całości dla każdej wersji głównej, dotknięte wymagania przy każdym wydaniu |
| Skany statyczne i dynamiczne | Complass, automatycznie | Przy każdej zmianie w kodzie |
| TLS, nagłówki, security.txt | Publiczne usługi testowe | Po każdym wydaniu, w każdej chwili możliwe do samodzielnego sprawdzenia |
Zamów raport bezpieczeństwa i dossier bezpieczeństwa
Na potrzeby oceny dostawców: raport bezpieczeństwa z odpowiedziami na typowe pytania kwestionariusza bezpieczeństwa otrzymują Państwo od nas bez umowy o zachowaniu poufności, wystawiony na Państwa firmę. Na potrzeby audytów i głębszych kontroli dostępne jest dodatkowo dossier bezpieczeństwa z wdrożeniem, dowodem i krokami weryfikacji dla każdego wymagania, po zawarciu umowy o zachowaniu poufności. Prosimy o wiadomość na adres info@complass.eu.
Lub e-mailem na adres info@complass.eu.
Znaleźli Państwo lukę w zabezpieczeniach? Prosimy o wiadomość na adres security@complass.de. Wskazówki dotyczące zgłaszania znajdują się w naszym pliku security.txt.