Seguridad · evidencias
Seguridad que usted puede verificar
Nosotros mismos comprobamos Complass, de forma continua y con documentación trazable. Lo que miden desde fuera servicios independientes, puede verificarlo usted mismo con un clic.
Estado: 04.11.2026 · versión 2.37
Medido por servicios independientes
Estos resultados los proporcionan servicios de prueba públicos, no nosotros. Cada enlace muestra el resultado actual del servicio.
-
Qualys SSL Labs A+
- Solo TLS 1.2 y 1.3
- HSTS durante un año, incluidos los subdominios
- Certificado válido, renovado automáticamente
-
Mozilla HTTP Observatory A+
- 12/12 pruebas
- Content Security Policy estricta
- Protección frente a la incrustación en otros sitios
- Cookies seguras
-
security.txt según RFC 9116 presente
- Contacto fijo para avisos de seguridad
- Válido hasta 28.09.2027
- Alemán e inglés
Las calificaciones muestran nuestro estado a fecha de 04.11.2026. Los servicios miden propiedades de nuestro sitio web accesibles públicamente. No trabajan por encargo nuestro y no conceden ningún sello.
Nuestras propias comprobaciones
Nos comprobamos a nosotros mismos, con herramientas propias y sin consultores externos. Lo decimos abiertamente porque significa que no comprobamos una vez al año, sino con cada cambio.
-
OWASP ASVS 5.0 Niveles 1 a 3 · autoevaluación
- Level 1
- 98 % Level 2
- 88 % Level 3
Cada requisito se evalúa individualmente frente al código y la operación. Solo consideramos cumplido un nivel cuando todo está implementado.
Excepciones justificadas (no contadas como cumplidas)
-
Validez de los códigos de la aplicación (V6.5.5, nivel 2): un código es válido hasta 60 segundos en lugar de 30, con un intervalo de tiempo de margen para los códigos que caducan mientras se escriben.
¿Por qué?
Un código de la aplicación cambia cada 30 segundos. Si caducaba mientras alguien lo escribía, el inicio de sesión se rechazaba hasta ahora. Por eso aceptamos también el código inmediatamente anterior, tal como prevé el estándar RFC 6238. Cada código sigue siendo válido una sola vez, y el inicio de sesión se bloquea tras unos pocos intentos fallidos.
-
Longitud de clave de proveedores externos (V11.2.3, nivel 2): RSA-2048 de proveedores de identidad y dispositivos passkey – admitido según NIST SP 800-131A hasta finales de 2030.
¿Por qué?
Complass cifra por sí mismo en todo momento con al menos 128 bits de seguridad (claves de 256 bits). Los proveedores de identidad como Microsoft o Google y muchos dispositivos passkey firman, sin embargo, con RSA-2048 (112 bits). Aceptamos estas claves conforme a NIST SP 800-131A hasta finales de 2030; a partir de 2031 exigimos al menos RSA-3072. Si rechazáramos RSA-2048 hoy, el inicio de sesión con SSO y passkey ya no sería posible.
-
Claves secretas sin un almacén de claves separado (V13.3.1, nivel 2): guardadas como archivos cifrados en una partición de datos propia en lugar de en un servicio de almacén.
¿Por qué?
Las claves secretas se guardan cifradas en una partición de datos propia y solo pueden leerlas los dos servicios que las necesitan. En un único servidor, un almacén de claves separado no aporta protección adicional.
-
Escaneos automáticos con cada cambio
- Análisis estático del código
- Búsqueda de credenciales guardadas por error
- Todos los componentes de terceros comprobados frente a vulnerabilidades conocidas
- Lista de materiales del software (SBOM)
- Análisis dinámico de la aplicación en ejecución
-
Prueba de penetración propia automatizado
Atacamos de forma deliberada la plataforma en un entorno de prueba con datos de demostración: separación de clientes, permisos, inicio de sesión y entradas.
Última prueba: versión 2.06, octubre 2026
- Ningún hallazgo crítico o alto
- Medio: 1 · Bajo: 5 – todos corregidos antes de la entrega y verificados de nuevo
-
Revisión de cada nueva función antes de cada release
- Permisos
- Separación de clientes
- Entradas
12,000+ pruebas automáticas bloquean cada entrega si una falla.
¿Qué es OWASP ASVS y qué significan los niveles 1, 2 y 3?
El estándar
El Application Security Verification Standard (ASVS) es un estándar de verificación abierto de la OWASP Foundation, una organización sin ánimo de lucro. En varios cientos de requisitos individuales establece lo que debe cumplir una aplicación web segura: desde el inicio de sesión, las sesiones y los permisos, pasando por la validación de las entradas, hasta el cifrado y el logging. La versión actual 5.0 se publicó en 2025.
Los tres niveles
- Nivel 1
- Protección básica frente a ataques evidentes y fáciles de explotar. El nivel mínimo para cualquier aplicación.
- Nivel 2
- El estándar para aplicaciones con datos sensibles o críticos para el negocio, como datos personales o documentación sobre seguridad de la información. Se basa en el nivel 1.
- Nivel 3
- El nivel más alto, para sistemas especialmente críticos. Se basa en el nivel 2.
Nuestro estado
OWASP ASVS 5.0: nivel 1 implementado por completo · nivel 2 98 % · nivel 3 88 % (autoevaluación, estado a 04.11.2026). Además, un pentest automatizado el 24.10.2026. Tres excepciones justificadas, indicadas abiertamente. Cómo contamos
Hemos evaluado individualmente cada requisito de los niveles 1 y 2 frente al código y la operación de Complass y hemos registrado una evidencia por cada requisito. Repetimos la evaluación completa en cada versión principal; con cada release volvemos a comprobar los requisitos afectados.
Cumplimos el estándar de seguridad OWASP ASVS nivel 2, salvo unas pocas excepciones que indicamos abiertamente. Cuando protege aún más sus datos, cumplimos también requisitos del nivel más alto, el nivel 3. Entre ellos, por ejemplo, passkeys para el equipo de Complass, una prueba de la separación de clientes en cada ruta y un registro de los accesos de lectura a través de la API.
Lo que no es
No es un certificado: OWASP no emite certificados ni comprueba aplicaciones por sí misma. Nuestra declaración es una autoevaluación de Complass.
La correspondencia detallada por requisito, con implementación, evidencia y pasos de verificación, figura en nuestro dossier de seguridad, que reciben los clientes y los interesados tras firmar un acuerdo de confidencialidad. Escríbanos a info@complass.eu, asunto «Sicherheitsdossier» (dossier de seguridad).
Resultado en breve
Publicamos un resumen breve. No mencionamos públicamente los hallazgos individuales para que nadie pueda explotarlos.
- Sin hallazgos críticos abiertos: en todas las comprobaciones hasta el 04.11.2026
- Cada comprobación documentada, con fecha, hora y estado comprobado, también sin hallazgos
- Alojamiento en Alemania: servidores de Hetzner Online GmbH
- Asistente de redacción con IA solo bajo petición: desactivado por defecto, tratamiento por Amazon Web Services en la región de Fráncfort (Alemania), sin entrenamiento con sus datos
- La eliminación también alcanza a los backups – clave de copia propia por cliente, destruida con la eliminación
Avisos de seguridad
Actualmente no hay avisos de seguridad publicados. Comunique las vulnerabilidades a security@complass.eu (véase security.txt).
Cómo comprobamos
Todas las afirmaciones de esta página se basan en comprobaciones propias o en servicios de prueba públicos. Complass no está certificada por ningún organismo externo.
| Tipo de comprobación | Quién comprueba | Frecuencia |
|---|---|---|
| Evaluación según OWASP ASVS 5.0 | Complass, autoevaluación | Completa en cada versión principal, requisitos afectados en cada release |
| Escaneos estáticos y dinámicos | Complass, automatizado | Con cada cambio en el código |
| Prueba de penetración propia | Complass, entorno de prueba con datos de demostración | Última prueba: versión 2.06, octubre 2026 |
| TLS, cabeceras, security.txt | Servicios de prueba públicos | Tras cada release, verificable por usted mismo en cualquier momento |
Solicitar el informe de seguridad y el dossier de seguridad
Dos documentos, según la profundidad de su revisión.
-
Informe de seguridad sin NDA
Para su evaluación de proveedores: las respuestas a las preguntas habituales de un cuestionario de seguridad, emitidas a nombre de su empresa.
Solicitar el informe de seguridad -
Dossier e informe de la prueba de penetración con NDA
Para auditorías y revisiones técnicas: cada medida de seguridad con su implementación, su evidencia y sus pasos de verificación. Además, el informe de la última prueba de penetración (versión 2.06, octubre 2026) con todos los hallazgos en detalle.
Tras la firma de un acuerdo de confidencialidad.
Solicitar el dossier y el informe de la prueba de penetración
O por correo electrónico a info@complass.eu.
¿Ha encontrado una vulnerabilidad de seguridad? Escriba a security@complass.eu. Las indicaciones para el aviso figuran en nuestro security.txt.