Seguridad · evidencias
Seguridad que usted puede verificar
Nosotros mismos comprobamos Complass, de forma continua y con documentación trazable. Lo que miden desde fuera servicios independientes, puede verificarlo usted mismo con un clic.
Estado: 22.10.2026 · versión 2.15
Medido por servicios independientes
Estos resultados los proporcionan servicios de prueba públicos, no nosotros. Cada enlace muestra el resultado actual del servicio.
-
Qualys SSL Labs A+
- Solo TLS 1.2 y 1.3
- HSTS durante un año, incluidos los subdominios
- Certificado válido, renovado automáticamente
-
Mozilla HTTP Observatory A+
- 12/12 pruebas
- Content Security Policy estricta
- Protección frente a la incrustación en otros sitios
- Cookies seguras
-
security.txt según RFC 9116 presente
- Contacto fijo para avisos de seguridad
- Válido hasta 28.09.2027
- Alemán e inglés
Las calificaciones muestran nuestro estado a fecha de 22.10.2026. Los servicios miden propiedades de nuestro sitio web accesibles públicamente. No trabajan por encargo nuestro y no conceden ningún sello.
Nuestras propias comprobaciones
Nos comprobamos a nosotros mismos, con herramientas propias y sin consultores externos. Lo decimos abiertamente porque significa que no comprobamos una vez al año, sino con cada cambio.
-
OWASP ASVS 5.0 Niveles 1 a 3 · autoevaluación
- 98 % Level 1
- 97 % Level 2
- 85 % Level 3
Cada requisito se evalúa individualmente frente al código y la operación. Solo consideramos cumplido un nivel cuando todo está implementado.
Excepciones justificadas (no contadas como cumplidas)
-
Longitud de clave de proveedores externos (V11.2.3, nivel 2): RSA-2048 de proveedores de identidad y dispositivos passkey – admitido según NIST SP 800-131A hasta finales de 2030.
¿Por qué?
Complass cifra por sí mismo en todo momento con al menos 128 bits de seguridad (claves de 256 bits). Los proveedores de identidad como Microsoft o Google y muchos dispositivos passkey firman, sin embargo, con RSA-2048 (112 bits). Aceptamos estas claves conforme a NIST SP 800-131A hasta finales de 2030; a partir de 2031 exigimos al menos RSA-3072. Si rechazáramos RSA-2048 hoy, el inicio de sesión con SSO y passkey ya no sería posible.
-
Claves secretas sin un almacén de claves separado (V13.3.1, nivel 2): guardadas como archivos cifrados en una partición de datos propia en lugar de en un servicio de almacén.
¿Por qué?
Las claves secretas se guardan cifradas en una partición de datos propia y solo pueden leerlas los dos servicios que las necesitan. En un único servidor, un almacén de claves separado no aporta protección adicional.
-
Escaneos automáticos con cada cambio
- Análisis estático del código
- Búsqueda de credenciales guardadas por error
- Todos los componentes de terceros comprobados frente a vulnerabilidades conocidas
- Lista de materiales del software (SBOM)
- Análisis dinámico de la aplicación en ejecución
-
Prueba de penetración propia antes de cada versión
Antes de cada publicación atacamos de forma deliberada la nueva versión: separación de clientes, permisos, inicio de sesión y nuevas funciones. Las pruebas se realizan en un entorno de prueba con datos de demostración.
Última prueba: versión 2.06, octubre 2026
- Ningún hallazgo crítico o alto
- Medio: 1 · Bajo: 5 – todos corregidos antes de la entrega y verificados de nuevo
-
Revisión de cada nueva función antes de cada release
- Permisos
- Separación de clientes
- Entradas
10,000+ pruebas automáticas bloquean cada entrega si una falla.
¿Qué es OWASP ASVS y qué significan los niveles 1, 2 y 3?
El estándar
El Application Security Verification Standard (ASVS) es un estándar de verificación abierto de la OWASP Foundation, una organización sin ánimo de lucro. En varios cientos de requisitos individuales establece lo que debe cumplir una aplicación web segura: desde el inicio de sesión, las sesiones y los permisos, pasando por la validación de las entradas, hasta el cifrado y el logging. La versión actual 5.0 se publicó en 2025.
Los tres niveles
- Nivel 1
- Protección básica frente a ataques evidentes y fáciles de explotar. El nivel mínimo para cualquier aplicación.
- Nivel 2
- El estándar para aplicaciones con datos sensibles o críticos para el negocio, como datos personales o documentación sobre seguridad de la información. Se basa en el nivel 1.
- Nivel 3
- El nivel más alto, para sistemas especialmente críticos. Se basa en el nivel 2.
Nuestro estado
OWASP ASVS 5.0: nivel 1 98 % · nivel 2 97 % · nivel 3 85 % (autoevaluación, a fecha de 21.10.2026). Además, un pentest automatizado el 24.10.2026. Dos excepciones justificadas, indicadas abiertamente. Cómo contamos
Hemos evaluado individualmente cada requisito de los niveles 1 y 2 frente al código y la operación de Complass y hemos registrado una evidencia por cada requisito. Repetimos la evaluación completa en cada versión principal; con cada release volvemos a comprobar los requisitos afectados.
Lo que no es
No es un certificado: OWASP no emite certificados ni comprueba aplicaciones por sí misma. Nuestra declaración es una autoevaluación de Complass.
La correspondencia detallada por requisito, con implementación, evidencia y pasos de verificación, figura en nuestro dossier de seguridad, que reciben los clientes y los interesados tras firmar un acuerdo de confidencialidad. Escríbanos a info@complass.eu, asunto «Sicherheitsdossier» (dossier de seguridad).
Resultado en breve
Publicamos un resumen breve. No mencionamos públicamente los hallazgos individuales para que nadie pueda explotarlos.
- Sin hallazgos críticos abiertos: en todas las comprobaciones hasta el 22.10.2026
- Cada comprobación documentada, con fecha, hora y estado comprobado, también sin hallazgos
- Alojamiento en Alemania: servidores de Hetzner Online GmbH
- La eliminación también alcanza a los backups – clave de copia propia por cliente, destruida con la eliminación
Avisos de seguridad
Actualmente no hay avisos de seguridad publicados. Comunique las vulnerabilidades a security@complass.de (véase security.txt).
Cómo comprobamos
Todas las afirmaciones de esta página se basan en comprobaciones propias o en servicios de prueba públicos. Complass no está certificada por ningún organismo externo.
| Tipo de comprobación | Quién comprueba | Frecuencia |
|---|---|---|
| Evaluación según OWASP ASVS 5.0 | Complass, autoevaluación | Completa en cada versión principal, requisitos afectados en cada release |
| Escaneos estáticos y dinámicos | Complass, automatizado | Con cada cambio en el código |
| Prueba de penetración propia | Complass, entorno de prueba con datos de demostración | Antes de cada versión |
| TLS, cabeceras, security.txt | Servicios de prueba públicos | Tras cada release, verificable por usted mismo en cualquier momento |
Solicitar el informe de seguridad y el dossier de seguridad
Dos documentos, según la profundidad de su revisión.
-
Informe de seguridad sin NDA
Para su evaluación de proveedores: las respuestas a las preguntas habituales de un cuestionario de seguridad, emitidas a nombre de su empresa.
Solicitar el informe de seguridad -
Dossier e informe de la prueba de penetración con NDA
Para auditorías y revisiones técnicas: cada medida de seguridad con su implementación, su evidencia y sus pasos de verificación. Además, el informe de la última prueba de penetración (versión 2.06, octubre 2026) con todos los hallazgos en detalle.
Tras la firma de un acuerdo de confidencialidad.
Solicitar el dossier y el informe de la prueba de penetración
O por correo electrónico a info@complass.eu.
¿Ha encontrado una vulnerabilidad de seguridad? Escriba a security@complass.de. Las indicaciones para el aviso figuran en nuestro security.txt.