Sécurité · preuves
Une sécurité que vous pouvez vérifier
Nous contrôlons nous-mêmes Complass, en continu et avec une documentation traçable. Ce que des services indépendants mesurent de l’extérieur, vous pouvez le vérifier vous-même en un clic.
État au 22.10.2026 · version 2.15
Mesuré par des services indépendants
Ces résultats proviennent de services de test publics, pas de nous. Le lien affiche à chaque fois le résultat actuel du service.
-
Qualys SSL Labs A+
- Uniquement TLS 1.2 et 1.3
- HSTS pendant un an, sous-domaines inclus
- Certificat valide, renouvelé automatiquement
-
Mozilla HTTP Observatory A+
- 12/12 tests
- Content Security Policy stricte
- Protection contre l’intégration dans des sites tiers
- Cookies sécurisés
-
security.txt selon la RFC 9116 présent
- Contact fixe pour les signalements de sécurité
- Valable jusqu’au 28.09.2027
- Allemand et anglais
Les notes reflètent notre état au 22.10.2026. Les services mesurent des propriétés de notre site accessibles publiquement. Ils ne travaillent pas pour notre compte et ne décernent aucun label.
Nos propres contrôles
Nous nous contrôlons nous-mêmes, avec nos propres outils et sans consultants externes. Nous le disons ouvertement, car cela signifie : nous ne contrôlons pas une fois par an, mais à chaque modification.
-
OWASP ASVS 5.0 Niveaux 1 à 3 · auto-évaluation
- 98 % Level 1
- 97 % Level 2
- 85 % Level 3
Chaque exigence est évaluée individuellement par rapport au code et à l’exploitation. Nous ne déclarons un niveau satisfait que lorsque tout est mis en œuvre.
Exceptions justifiées (non comptées comme satisfaites)
-
Longueur de clé de fournisseurs tiers (V11.2.3, niveau 2) : RSA-2048 de fournisseurs d’identité et d’appareils passkey – admis selon NIST SP 800-131A jusqu’à fin 2030.
Pourquoi ?
Complass chiffre lui-même partout avec au moins 128 bits de sécurité (clés de 256 bits). Les fournisseurs d’identité comme Microsoft ou Google et de nombreux appareils passkey signent toutefois avec RSA-2048 (112 bits). Nous acceptons ces clés conformément à NIST SP 800-131A jusqu’à fin 2030 ; à partir de 2031, nous exigeons au moins RSA-3072. Si nous refusions RSA-2048 aujourd’hui, la connexion par SSO et par passkey ne serait plus possible.
-
Clés secrètes sans coffre-fort de clés séparé (V13.3.1, niveau 2) : stockage sous forme de fichiers chiffrés sur une partition de données dédiée plutôt que dans un service de coffre-fort.
Pourquoi ?
Les clés secrètes sont stockées chiffrées sur une partition de données dédiée, lisibles uniquement par les deux services qui en ont besoin. Sur un serveur unique, un coffre-fort de clés séparé n’apporte aucune protection supplémentaire.
-
Scans automatiques à chaque modification
- Analyse statique du code
- Recherche de secrets enregistrés par erreur
- Tous les composants tiers vérifiés pour les vulnérabilités connues
- Nomenclature logicielle (SBOM)
- Analyse dynamique de l’application en cours d’exécution
-
Test d’intrusion interne avant chaque version
Avant chaque mise en production, nous attaquons délibérément la nouvelle version : séparation des clients, droits, connexion et nouvelles fonctions. Les tests ont lieu dans un environnement de test avec des données de démonstration.
Dernier test : version 2.06, octobre 2026
- Aucun constat critique ou élevé
- Moyen: 1 · Faible: 5 – tous corrigés avant la livraison et vérifiés à nouveau
-
Revue de chaque nouvelle fonction avant chaque validation
- Droits
- Séparation des clients
- Saisies
10,000+ tests automatiques bloquent chaque livraison si l’un échoue.
Qu’est-ce que l’OWASP ASVS et que signifient les niveaux 1, 2 et 3 ?
Le standard
L’Application Security Verification Standard (ASVS) est un standard de vérification ouvert de la fondation à but non lucratif OWASP. Au travers de plusieurs centaines d’exigences individuelles, il définit ce qu’une application web sûre doit assurer : de la connexion, des sessions et des droits à la vérification des entrées, en passant par le chiffrement et le logging. La version actuelle 5.0 a été publiée en 2025.
Les trois niveaux
- Niveau 1
- Protection de base contre les attaques évidentes et faciles à exploiter. Le niveau minimal pour toute application.
- Niveau 2
- Le standard pour les applications traitant des données sensibles ou critiques pour l’activité, p. ex. des données personnelles ou des documents relatifs à la sécurité de l’information. S’appuie sur le niveau 1.
- Niveau 3
- Le niveau le plus élevé, pour les systèmes particulièrement critiques. S’appuie sur le niveau 2.
Notre état
OWASP ASVS 5.0 : niveau 1 98 % · niveau 2 97 % · niveau 3 85 % (auto-évaluation, état au 21.10.2026). S’y ajoute un test d’intrusion automatisé le 24.10.2026. Deux exceptions justifiées, présentées ouvertement. Notre méthode de comptage
Nous avons évalué individuellement chaque exigence des niveaux 1 et 2 par rapport au code et à l’exploitation de Complass, et consigné une preuve pour chaque exigence. Nous répétons l’évaluation complète à chaque version majeure ; à chaque release, nous réexaminons les exigences concernées.
Ce que ce n’est pas
Pas un certificat : l’OWASP ne délivre pas de certificats et n’évalue pas lui-même les applications. Notre indication est une auto-évaluation de Complass.
La correspondance détaillée par exigence, avec mise en œuvre, preuve et étapes de vérification, figure dans notre dossier de sécurité, que les clients et prospects reçoivent après la conclusion d’un accord de confidentialité. Écrivez-nous à info@complass.eu, objet « Sicherheitsdossier » (dossier de sécurité).
Résultat en bref
Nous publions un résumé succinct. Nous ne citons pas publiquement les constats individuels, afin que personne ne puisse les exploiter.
- Aucun constat critique ouvert – sur l’ensemble des contrôles jusqu’au 22.10.2026
- Chaque contrôle documenté – avec date, heure et état contrôlé, même sans constat
- Hébergement en Allemagne – serveurs de Hetzner Online GmbH
- La suppression s'applique aussi aux backups – clé de backup propre à chaque client, détruite lors de la suppression
Avis de sécurité
Aucun avis de sécurité n'est publié pour le moment. Signalez les vulnérabilités à security@complass.de (voir security.txt).
Comment nous contrôlons
Toutes les indications de cette page reposent sur nos propres contrôles ou sur des services de test publics. Complass n’est certifié par aucun organisme externe.
| Type de contrôle | Qui contrôle | Fréquence |
|---|---|---|
| Évaluation selon l’OWASP ASVS 5.0 | Complass, auto-évaluation | Complète à chaque version majeure, exigences concernées à chaque release |
| Scans statiques et dynamiques | Complass, automatisé | À chaque modification du code |
| Test d’intrusion interne | Complass, environnement de test avec données de démonstration | Avant chaque version |
| TLS, en-têtes, security.txt | Services de test publics | Après chaque release, vérifiable à tout moment par vous-même |
Demander le rapport de sécurité et le dossier de sécurité
Deux documents, selon la profondeur de votre évaluation.
-
Rapport de sécurité sans NDA
Pour votre évaluation des fournisseurs : les réponses aux questions habituelles d’un questionnaire de sécurité, établies au nom de votre entreprise.
Demander le rapport de sécurité -
Dossier et rapport de test d’intrusion sous NDA
Pour les audits et les évaluations techniques : chaque mesure de sécurité avec sa mise en œuvre, sa preuve et ses étapes de vérification. En complément, le rapport du dernier test d’intrusion (version 2.06, octobre 2026) avec tous les constats en détail.
Après la conclusion d’un accord de confidentialité.
Demander le dossier et le rapport de test d’intrusion
Ou par e-mail à info@complass.eu.
Vous avez trouvé une faille de sécurité ? Écrivez à security@complass.de. Les indications pour le signalement figurent dans notre security.txt.