Segurança · evidências
Segurança que pode verificar
Nós próprios verificamos o Complass, de forma contínua e com documentação rastreável. O que serviços independentes medem a partir do exterior, pode verificar por si com um clique.
Estado: 22.10.2026 · versão 2.05.2
Medido por serviços independentes
Estes resultados são fornecidos por serviços de teste públicos, não por nós. Cada ligação mostra o resultado atual do serviço.
-
Qualys SSL Labs A+
- Apenas TLS 1.2 e 1.3
- HSTS durante um ano, incluindo subdomínios
- Certificado válido, renovado automaticamente
-
Mozilla HTTP Observatory A+
- 12/12 testes
- Content Security Policy rigorosa
- Proteção contra a incorporação noutros sites
- Cookies seguros
-
security.txt segundo a RFC 9116 presente
- Contacto fixo para comunicações de segurança
- Válido até 28.09.2027
- Alemão e inglês
As notas mostram o nosso estado a 22.10.2026. Os serviços medem propriedades do nosso site acessíveis publicamente. Não trabalham por nossa conta e não atribuem qualquer selo.
As nossas próprias verificações
Verificamo-nos a nós próprios, com ferramentas próprias e sem consultores externos. Dizemo-lo abertamente, porque significa que não verificamos uma vez por ano, mas a cada alteração.
-
OWASP ASVS 5.0 Níveis 1 a 3 · autoavaliação
- 98 % Level 1
- 93 % Level 2
- 85 % Level 3
Cada requisito avaliado individualmente face ao código e à operação. Só consideramos um nível cumprido quando tudo está implementado.
Exceções justificadas (não contadas como cumpridas)
-
Comprimento de chave de fornecedores externos (V11.2.3, nível 2): RSA-2048 de fornecedores de identidade e dispositivos passkey – permitido segundo NIST SP 800-131A até ao fim de 2030.
Porquê?
O próprio Complass cifra de forma consistente com pelo menos 128 bits de segurança (chaves de 256 bits). Fornecedores de identidade como Microsoft ou Google e muitos dispositivos passkey assinam, no entanto, com RSA-2048 (112 bits). Aceitamos estas chaves de acordo com NIST SP 800-131A até ao fim de 2030; a partir de 2031 exigimos pelo menos RSA-3072. Se rejeitássemos hoje o RSA-2048, o início de sessão por SSO e passkey deixaria de ser possível.
-
Verificações automáticas a cada alteração
- Análise estática do código
- Pesquisa de credenciais guardadas por engano
- Todos os componentes de terceiros verificados quanto a vulnerabilidades conhecidas
- Lista de materiais do software (SBOM)
- Análise dinâmica da aplicação em execução
-
Verificação de cada nova funcionalidade antes de cada release
- Permissões
- Separação de clientes
- Entradas
10,000+ testes automáticos bloqueiam cada entrega se um falhar.
O que é o OWASP ASVS e o que significam os níveis 1, 2 e 3?
A norma
O Application Security Verification Standard (ASVS) é uma norma de verificação aberta da OWASP Foundation, sem fins lucrativos. Em várias centenas de requisitos individuais, define o que uma aplicação web segura tem de cumprir: do início de sessão, sessões e permissões à validação de entradas, cifragem e Logging. A versão atual 5.0 foi publicada em 2025.
Os três níveis
- Nível 1
- Proteção de base contra ataques óbvios e fáceis de explorar. O mínimo para qualquer aplicação.
- Nível 2
- O nível padrão para aplicações com dados sensíveis ou críticos para o negócio, como dados pessoais ou documentação de segurança da informação. Assenta no nível 1.
- Nível 3
- O nível mais elevado, para sistemas especialmente críticos. Assenta no nível 2.
O nosso estado
OWASP ASVS 5.0: nível 1 98 % · nível 2 93 % · nível 3 85 % (autoavaliação, situação em 21.10.2026). Uma exceção justificada, indicada abertamente. Como contamos
Avaliámos individualmente cada requisito dos níveis 1 e 2 face ao código e à operação do Complass e registámos uma evidência por requisito. Repetimos a avaliação completa a cada versão principal; a cada release, voltamos a verificar os requisitos afetados.
O que não é
Não é um certificado: a OWASP não emite certificados nem verifica aplicações por si própria. A nossa indicação é uma autoavaliação do Complass.
A correspondência detalhada por requisito, com implementação, evidência e passos de verificação, consta do nosso dossiê de segurança, que clientes e interessados recebem após a celebração de um acordo de confidencialidade. Escreva-nos para info@complass.eu, assunto «Sicherheitsdossier» (dossiê de segurança).
Resultado em resumo
Publicamos um resumo breve. Não divulgamos publicamente constatações individuais, para que ninguém as possa explorar.
- Sem constatações críticas em aberto – em todas as verificações até 22.10.2026
- Cada verificação documentada – com data, hora e estado verificado, mesmo sem constatação
- Alojamento na Alemanha – servidores da Hetzner Online GmbH
- A eliminação abrange também os backups – chave de cópia própria por cliente, destruída com a eliminação
Avisos de segurança
De momento não existem avisos de segurança publicados. Comunique vulnerabilidades para security@complass.de (ver security.txt).
Como verificamos
Todas as indicações nesta página baseiam-se em verificações próprias ou em serviços de teste públicos. O Complass não é certificado por uma entidade externa.
| Tipo de verificação | Quem verifica | Frequência |
|---|---|---|
| Avaliação segundo o OWASP ASVS 5.0 | Complass, autoavaliação | Completa a cada versão principal, requisitos afetados a cada release |
| Verificações estáticas e dinâmicas | Complass, automatizado | A cada alteração ao código |
| TLS, cabeçalhos, security.txt | Serviços de teste públicos | Após cada release, verificável por si em qualquer momento |
Pedir o relatório de segurança e o dossiê de segurança
Para a sua avaliação de fornecedores: o relatório de segurança, com respostas às perguntas habituais de um questionário de segurança, recebe-o de nós sem acordo de confidencialidade, emitido em nome da sua empresa. Para auditorias e verificações mais profundas existe ainda o dossiê de segurança, com implementação, evidência e passos de verificação por requisito, após a celebração de um acordo de confidencialidade. Escreva-nos para info@complass.eu.
Ou por e-mail para info@complass.eu.
Encontrou uma vulnerabilidade de segurança? Escreva para security@complass.de. As indicações para a comunicação constam do nosso security.txt.