Sicurezza · evidenze
Una sicurezza che potete verificare
Verifichiamo Complass noi stessi, in modo continuo e con una documentazione tracciabile. Ciò che servizi indipendenti misurano dall’esterno potete verificarlo voi stessi con un clic.
Stato al 22.10.2026 · versione 2.15
Misurato da servizi indipendenti
Questi risultati sono forniti da servizi di verifica pubblici, non da noi. Il link mostra di volta in volta il risultato attuale del servizio.
-
Qualys SSL Labs A+
- Solo TLS 1.2 e 1.3
- HSTS per un anno, sottodomini inclusi
- Certificato valido, rinnovato automaticamente
-
Mozilla HTTP Observatory A+
- 12/12 test
- Content Security Policy rigorosa
- Protezione dall’incorporamento in altri siti
- Cookie sicuri
-
security.txt secondo RFC 9116 presente
- Contatto fisso per le segnalazioni di sicurezza
- Valido fino al 28.09.2027
- Tedesco e inglese
I voti mostrano il nostro stato al 22.10.2026. I servizi misurano proprietà del nostro sito web raggiungibili pubblicamente. Non lavorano per nostro conto e non rilasciano alcun sigillo.
Le nostre verifiche
Effettuiamo le verifiche internamente, con strumenti propri e senza consulenti esterni. Lo diciamo apertamente, perché significa: non verifichiamo una volta all’anno, ma a ogni modifica.
-
OWASP ASVS 5.0 Livelli da 1 a 3 · autovalutazione
- 98 % Level 1
- 97 % Level 2
- 85 % Level 3
Ogni requisito è valutato singolarmente rispetto al codice e all’operatività. Consideriamo un livello soddisfatto solo quando tutto è implementato.
Eccezioni motivate (non conteggiate come soddisfatte)
-
Lunghezza delle chiavi di fornitori terzi (V11.2.3, livello 2): RSA-2048 di provider di identità e dispositivi passkey – ammesso secondo NIST SP 800-131A fino a fine 2030.
Perché?
Complass stesso cifra ovunque con almeno 128 bit di sicurezza (chiavi a 256 bit). I provider di identità come Microsoft o Google e molti dispositivi passkey firmano però con RSA-2048 (112 bit). Accettiamo queste chiavi secondo NIST SP 800-131A fino a fine 2030; dal 2031 richiediamo almeno RSA-3072. Se rifiutassimo RSA-2048 oggi, l’accesso tramite SSO e passkey non sarebbe più possibile.
-
Chiavi segrete senza un vault separato (V13.3.1, livello 2): archiviate come file cifrati su una partizione dati dedicata invece che in un servizio vault.
Perché?
Le chiavi segrete sono archiviate cifrate su una partizione dati dedicata, leggibili solo dai due servizi che ne hanno bisogno. Su un singolo server, un vault separato per le chiavi non offre alcuna protezione aggiuntiva.
-
Scansioni automatiche a ogni modifica
- Analisi statica del codice
- Ricerca di segreti salvati per errore
- Tutti i componenti di terze parti verificati per vulnerabilità note
- Distinta dei componenti software (SBOM)
- Scansione dinamica dell’applicazione in esecuzione
-
Test di penetrazione interno prima di ogni versione
Prima di ogni rilascio attacchiamo in modo mirato la nuova versione: separazione dei clienti, diritti, accesso e nuove funzioni. I test si svolgono in un ambiente di prova con dati dimostrativi.
Ultimo test: versione 2.06, ottobre 2026
- Nessun rilievo critico o alto
- Medio: 1 · Basso: 5 – tutti corretti prima del rilascio e verificati di nuovo
-
Verifica di ogni nuova funzione prima di ogni rilascio
- Permessi
- Separazione dei clienti
- Input
10,000+ test automatici bloccano ogni rilascio se uno fallisce.
Che cos’è OWASP ASVS e che cosa significano i livelli 1, 2 e 3?
Lo standard
L’Application Security Verification Standard (ASVS) è uno standard di verifica aperto della OWASP Foundation, un’organizzazione senza scopo di lucro. In diverse centinaia di requisiti individuali stabilisce che cosa deve garantire un’applicazione web sicura: dall’accesso, dalle sessioni e dai permessi alla verifica degli input, fino alla cifratura e al logging. L’attuale versione 5.0 è stata pubblicata nel 2025.
I tre livelli
- Livello 1
- Protezione di base contro attacchi evidenti e facili da sfruttare. Il livello minimo per ogni applicazione.
- Livello 2
- Lo standard per le applicazioni con dati sensibili o critici per l’attività, ad esempio dati personali o documentazione sulla sicurezza delle informazioni. Si basa sul livello 1.
- Livello 3
- Il livello più alto, per sistemi particolarmente critici. Si basa sul livello 2.
Il nostro stato
OWASP ASVS 5.0: livello 1 98 % · livello 2 97 % · livello 3 85 % (autovalutazione, stato al 21.10.2026). In più, un pentest automatizzato il 24.10.2026. Due eccezioni motivate, indicate apertamente. Come contiamo
Abbiamo valutato singolarmente ogni requisito dei livelli 1 e 2 rispetto al codice e all’esercizio di Complass e documentato un’evidenza per ciascun requisito. Ripetiamo la valutazione completa a ogni versione principale; a ogni release verifichiamo di nuovo i requisiti interessati.
Che cosa non è
Non è un certificato: OWASP non rilascia certificati e non verifica le applicazioni direttamente. La nostra dichiarazione è un’autovalutazione di Complass.
L’associazione dettagliata per ogni requisito con attuazione, evidenza e passi di verifica è contenuta nel nostro dossier di sicurezza, che clienti e potenziali clienti ricevono dopo la stipula di un accordo di riservatezza. Scriveteci a info@complass.eu, oggetto “Sicherheitsdossier” (dossier di sicurezza).
Risultato in breve
Pubblichiamo un riepilogo sintetico. Non rendiamo pubbliche le singole risultanze, affinché nessuno possa sfruttarle.
- Nessuna risultanza critica aperta – in tutte le verifiche fino al 22.10.2026
- Ogni verifica è documentata – con data, ora e stato verificato, anche senza risultanze
- Hosting in Germania – server di Hetzner Online GmbH
- La cancellazione vale anche per i backup – chiave di backup propria per ogni cliente, distrutta con la cancellazione
Avvisi di sicurezza
Al momento non ci sono avvisi di sicurezza pubblicati. Segnalate le vulnerabilità a security@complass.de (vedi security.txt).
Come verifichiamo
Tutte le indicazioni di questa pagina si basano su verifiche proprie o su servizi di verifica pubblici. Complass non è certificata da un ente esterno.
| Tipo di verifica | Chi verifica | Cadenza |
|---|---|---|
| Valutazione secondo OWASP ASVS 5.0 | Complass, autovalutazione | Completa a ogni versione principale, requisiti interessati a ogni release |
| Scansioni statiche e dinamiche | Complass, automatizzato | A ogni modifica del codice |
| Test di penetrazione interno | Complass, ambiente di prova con dati dimostrativi | Prima di ogni versione |
| TLS, header, security.txt | Servizi di verifica pubblici | Dopo ogni release, sempre verificabile in autonomia |
Richiedere il rapporto di sicurezza e il dossier di sicurezza
Due documenti, a seconda di quanto approfondita è la Sua verifica.
-
Rapporto di sicurezza senza NDA
Per la Sua valutazione dei fornitori: le risposte alle domande consuete di un questionario di sicurezza, intestate alla Sua azienda.
Richiedere il rapporto di sicurezza -
Dossier e rapporto del test di penetrazione con NDA
Per audit e verifiche tecniche: ogni misura di sicurezza con attuazione, evidenza e passi di verifica. In più il rapporto dell’ultimo test di penetrazione (versione 2.06, ottobre 2026) con tutti i rilievi in dettaglio.
Dopo la stipula di un accordo di riservatezza.
Richiedere il dossier e il rapporto del test di penetrazione
Oppure per e-mail a info@complass.eu.
Avete trovato una vulnerabilità? Scrivete a security@complass.de. Le indicazioni per la segnalazione si trovano nel nostro security.txt.