Segurança
Segurança segundo o OWASP ASVS 5.0
Avaliamos o Complass face à norma internacional para aplicações web seguras e divulgamos o nosso estado. Só são contados os requisitos totalmente implementados.
Estado por nível
Estado a 21.10.2026, versão 2.05.2 · autoavaliação, mantida no registo de controlos
- Level 1 · Proteção de base 98 % implementado 61 de 62 implementados
- Level 2 · Norma para dados empresariais 93 % implementado 188 de 203 requisitos aplicáveis implementados, 1 risco residual aceite deliberadamente (não contabilizado)
- Level 3 · Aplicações de elevada criticidade 85 % implementado Voluntário, para além da norma. O nível 3 destina-se a sistemas como os pagamentos. Estado a 21.10.2026
- 203Requisitos dos níveis 1 e 2
- 188dos quais totalmente implementados
- > 10,000testes automáticos a cada alteração
- 21.10.2026última avaliação
Exceções justificadas (não contadas como cumpridas)
-
Comprimento de chave de fornecedores externos (V11.2.3, nível 2): RSA-2048 de fornecedores de identidade e dispositivos passkey – permitido segundo NIST SP 800-131A até ao fim de 2030.
Porquê?
O próprio Complass cifra de forma consistente com pelo menos 128 bits de segurança (chaves de 256 bits). Fornecedores de identidade como Microsoft ou Google e muitos dispositivos passkey assinam, no entanto, com RSA-2048 (112 bits). Aceitamos estas chaves de acordo com NIST SP 800-131A até ao fim de 2030; a partir de 2031 exigimos pelo menos RSA-3072. Se rejeitássemos hoje o RSA-2048, o início de sessão por SSO e passkey deixaria de ser possível.
Áreas avaliadas
Todos os 17 capítulos da norma estão avaliados.
- Codificação e saneamento
- Validação e lógica de negócio
- Interface web
- API e serviços web
- Tratamento de ficheiros
- Autenticação
- Sessões
- Autorização
- Tokens
- OAuth e OIDC
- Criptografia
- Comunicação segura
- Configuração
- Proteção de dados
- Desenvolvimento seguro
- Registo de eventos
- WebRTC
Cada requisito com estado e prova
Para clientes, interessados com acordo de confidencialidade e auditores, no Trust Center.
Pedir acesso ao Trust CenterO que significa «não aplicável»?
Alguns requisitos dizem respeito a tecnologia que o Complass não utiliza, por exemplo LDAP, LaTeX ou WebRTC. Não contam nem como implementados nem como em aberto.
Como são contados os níveis?
O nível 2 inclui todos os requisitos do nível 1. O valor do nível 2 conta, por isso, os níveis 1 e 2 em conjunto.
O que isto significa para si
Dez coisas por trás dos números. Em cada uma vê quantos requisitos subjacentes estão implementados no registo de controlos.
-
Início de sessão como num banco
MFA para todos, passkeys, proteção contra palavras-passe adivinhadas ou já divulgadas e bloqueio contra tentativas repetidas.
Para si, isto significa: Uma palavra-passe roubada, por si só, não abre nenhuma conta.
V6 · 31 de 31 requisitos implementados
-
Sessões que ninguém consegue assumir
Cookies seguros, fim de sessão em todos os dispositivos e nova confirmação em ações críticas.
Para si, isto significa: Uma janela do navegador esquecida não se torna uma porta de entrada.
V7 · 18 de 18 requisitos implementados
-
Cada pessoa vê apenas o que pode
Separação rigorosa das empresas, direitos por pessoa e área, verificados no servidor.
Para si, isto significa: Consultores, fornecedores e auditores veem apenas o que autorizar.
V8 · 7 de 7 requisitos implementados
-
Os seus dados cifrados, também para nós
Chave própria por cliente; acesso por nossa parte apenas com a sua autorização temporária; na eliminação, a chave é destruída.
Para si, isto significa: Nem nós acedemos aos seus conteúdos sem a sua autorização.
V11 · V14 · 19 de 22 requisitos implementados
-
Carregamentos sem risco
Os ficheiros são verificados, analisados quanto a software malicioso e armazenados cifrados fora do diretório acessível ao público.
Para si, isto significa: Um documento manipulado não se torna um perigo para a sua equipa.
V5 · 8 de 9 requisitos implementados
-
Transmitido em segurança
Ligações cifradas com HSTS, servidor próprio na Alemanha, ligações de saída apenas por https para endereços públicos.
Para si, isto significa: Os seus dados permanecem sob controlo em trânsito e em operação.
V12 · V13 · 13 de 19 requisitos implementados
-
Registo rastreável
Uma cadeia de verificação contra alterações posteriores e um registo que também abrange os acessos de leitura.
Para si, isto significa: Vê quem fez o quê e quando, e pode mostrá-lo a um auditor.
V16 · 14 de 16 requisitos implementados
-
Proteção contra ataques típicos
As entradas são validadas e as saídas codificadas; proteção contra injeção de código, pedidos falsificados (CSRF) e acessos a destinos internos.
Para si, isto significa: Os caminhos de ataque mais comuns ficam fechados antes de serem usados.
V1 · V2 · V3 · 47 de 48 requisitos implementados
-
Interfaces seguras
Acesso através da API apenas com chave, cada chamada é registada.
Para si, isto significa: As ligações às suas ferramentas não abrem nenhuma porta dos fundos.
V4 · 2 de 4 requisitos implementados
-
Construído com rigor
As verificações de segurança correm a cada alteração e os testes automáticos bloqueiam a entrega se algum falhar.
Para si, isto significa: A segurança faz parte do desenvolvimento, não é um verniz aplicado no fim.
V15 · 13 de 13 requisitos implementados
Autoavaliação com um registo de controlos verificável: auditores, clientes e potenciais clientes com acordo de confidencialidade veem cada requisito com estado e evidência no Trust Center.