Segurança
Segurança segundo o OWASP ASVS 5.0
Avaliamos o Complass face à norma internacional para aplicações web seguras e divulgamos o nosso estado. Só são contados os requisitos totalmente implementados.
Estado por nível
Estado a 21.10.2026, versão 2.15 · autoavaliação, mantida no registo de controlos
- Level 1 · Proteção de base 98 % implementado 61 de 62 implementados
- Level 2 · Norma para dados empresariais 97 % implementado 197 de 203 requisitos aplicáveis implementados, 2 riscos residuais aceites deliberadamente (não contabilizados)
- Level 3 · Aplicações de elevada criticidade 85 % implementado Voluntário, para além da norma. O nível 3 destina-se a sistemas como os pagamentos. Estado a 21.10.2026
- 203Requisitos dos níveis 1 e 2
- 197dos quais totalmente implementados
- > 10,000testes automáticos a cada alteração
- 21.10.2026última avaliação
Exceções justificadas (não contadas como cumpridas)
-
Comprimento de chave de fornecedores externos (V11.2.3, nível 2): RSA-2048 de fornecedores de identidade e dispositivos passkey – permitido segundo NIST SP 800-131A até ao fim de 2030.
Porquê?
O próprio Complass cifra de forma consistente com pelo menos 128 bits de segurança (chaves de 256 bits). Fornecedores de identidade como Microsoft ou Google e muitos dispositivos passkey assinam, no entanto, com RSA-2048 (112 bits). Aceitamos estas chaves de acordo com NIST SP 800-131A até ao fim de 2030; a partir de 2031 exigimos pelo menos RSA-3072. Se rejeitássemos hoje o RSA-2048, o início de sessão por SSO e passkey deixaria de ser possível.
-
Chaves secretas sem cofre de chaves separado (V13.3.1, nível 2): guardadas como ficheiros cifrados numa partição de dados própria em vez de num serviço de cofre.
Porquê?
As chaves secretas são guardadas cifradas numa partição de dados própria, legíveis apenas pelos dois serviços que delas precisam. Num único servidor, um cofre de chaves separado não acrescenta proteção.
Áreas avaliadas
Todos os 17 capítulos da norma estão avaliados.
- Codificação e saneamento
- Validação e lógica de negócio
- Interface web
- API e serviços web
- Tratamento de ficheiros
- Autenticação
- Sessões
- Autorização
- Tokens
- OAuth e OIDC
- Criptografia
- Comunicação segura
- Configuração
- Proteção de dados
- Desenvolvimento seguro
- Registo de eventos
- WebRTC
Cada requisito com estado e prova
Para clientes, interessados com acordo de confidencialidade e auditores, no Trust Center.
Pedir acesso ao Trust CenterO que significa «não aplicável»?
Alguns requisitos dizem respeito a tecnologia que o Complass não utiliza, por exemplo LDAP, LaTeX ou WebRTC. Não contam nem como implementados nem como em aberto.
Como são contados os níveis?
O nível 2 inclui todos os requisitos do nível 1. O valor do nível 2 conta, por isso, os níveis 1 e 2 em conjunto.
O que isto significa para si
Dez coisas por trás dos números. Em cada uma vê quantos requisitos subjacentes estão implementados no registo de controlos.
-
Início de sessão como num banco
MFA para todos, passkeys, proteção contra palavras-passe adivinhadas ou já divulgadas e bloqueio contra tentativas repetidas.
Para si, isto significa: Uma palavra-passe roubada, por si só, não abre nenhuma conta.
V6 · 31 de 31 requisitos implementados
-
Sessões que ninguém consegue assumir
Cookies seguros, fim de sessão em todos os dispositivos e nova confirmação em ações críticas.
Para si, isto significa: Uma janela do navegador esquecida não se torna uma porta de entrada.
V7 · 18 de 18 requisitos implementados
-
Cada pessoa vê apenas o que pode
Separação rigorosa das empresas, direitos por pessoa e área, verificados no servidor.
Para si, isto significa: Consultores, fornecedores e auditores veem apenas o que autorizar.
V8 · 7 de 7 requisitos implementados
-
Os seus dados cifrados, também para nós
Chave própria por cliente; acesso por nossa parte apenas com a sua autorização temporária; na eliminação, a chave é destruída.
Para si, isto significa: Nem nós acedemos aos seus conteúdos sem a sua autorização.
V11 · V14 · 20 de 22 requisitos implementados
-
Carregamentos sem risco
Os ficheiros são verificados, analisados quanto a software malicioso e armazenados cifrados fora do diretório acessível ao público.
Para si, isto significa: Um documento manipulado não se torna um perigo para a sua equipa.
V5 · 9 de 9 requisitos implementados
-
Transmitido em segurança
Ligações cifradas com HSTS, servidor próprio na Alemanha, ligações de saída apenas por https para endereços públicos.
Para si, isto significa: Os seus dados permanecem sob controlo em trânsito e em operação.
V12 · V13 · 17 de 19 requisitos implementados
-
Registo rastreável
Uma cadeia de verificação contra alterações posteriores e um registo que também abrange os acessos de leitura.
Para si, isto significa: Vê quem fez o quê e quando, e pode mostrá-lo a um auditor.
V16 · 15 de 16 requisitos implementados
-
Proteção contra ataques típicos
As entradas são validadas e as saídas codificadas; proteção contra injeção de código, pedidos falsificados (CSRF) e acessos a destinos internos.
Para si, isto significa: Os caminhos de ataque mais comuns ficam fechados antes de serem usados.
V1 · V2 · V3 · 47 de 48 requisitos implementados
-
Interfaces seguras
Acesso através da API apenas com chave, cada chamada é registada.
Para si, isto significa: As ligações às suas ferramentas não abrem nenhuma porta dos fundos.
V4 · 4 de 4 requisitos implementados
-
Construído com rigor
As verificações de segurança correm a cada alteração e os testes automáticos bloqueiam a entrega se algum falhar.
Para si, isto significa: A segurança faz parte do desenvolvimento, não é um verniz aplicado no fim.
V15 · 13 de 13 requisitos implementados
Autoavaliação com um registo de controlos verificável: auditores, clientes e potenciais clientes com acordo de confidencialidade veem cada requisito com estado e evidência no Trust Center.
Teste de intrusão automatizado
Em 24.10.2026, uma ferramenta automatizada de testes de intrusão (OWASP ZAP) atacou a versão completa do Complass para o go-live num ambiente de teste, não o sistema em produção. As constatações e o respetivo estado constam do dossiê de segurança.