Bezpieczeństwo · dowody
Bezpieczeństwo, które mogą Państwo sprawdzić
Sami testujemy Complass, w sposób ciągły i z dokumentacją, którą można prześledzić. To, co niezależne usługi mierzą z zewnątrz, mogą Państwo sprawdzić samodzielnie jednym kliknięciem.
Stan: 04.11.2026 · wersja 2.37
Mierzone przez niezależne usługi
Te wyniki dostarczają publiczne usługi testowe, nie my. Link pokazuje każdorazowo aktualny wynik usługi.
-
Qualys SSL Labs A+
- Tylko TLS 1.2 i 1.3
- HSTS przez rok, łącznie z subdomenami
- Certyfikat ważny, odnawiany automatycznie
-
Mozilla HTTP Observatory A+
- 12/12 Testy
- Rygorystyczna Content Security Policy
- Ochrona przed osadzaniem na obcych stronach
- Bezpieczne pliki cookie
-
security.txt zgodnie z RFC 9116 dostępny
- Stały kontakt dla zgłoszeń dotyczących bezpieczeństwa
- Ważne do 28.09.2027
- Niemiecki i angielski
Oceny pokazują nasz stan z dnia 04.11.2026. Usługi mierzą publicznie dostępne właściwości naszej strony internetowej. Nie działają na nasze zlecenie i nie przyznają żadnego znaku jakości.
Nasze własne kontrole
Testujemy się sami, własnymi narzędziami i bez zewnętrznych doradców. Mówimy o tym otwarcie, ponieważ oznacza to: nie testujemy raz w roku, lecz przy każdej zmianie.
-
OWASP ASVS 5.0 Poziomy od 1 do 3 · samoocena
- Level 1
- 98 % Level 2
- 88 % Level 3
Każde wymaganie oceniono osobno względem kodu i działania. Poziom uznajemy za spełniony dopiero wtedy, gdy wszystko wdrożono.
Uzasadnione wyjątki (nieliczone jako spełnione)
-
Ważność kodów z aplikacji (V6.5.5, poziom 2): kod jest ważny do 60 zamiast 30 sekund, z jednym krokiem czasowym zapasu dla kodów, które wygasają podczas wpisywania.
Dlaczego?
Kod z aplikacji zmienia się co 30 sekund. Jeśli wygasł w trakcie wpisywania, logowanie było dotąd odrzucane. Dlatego akceptujemy także bezpośrednio poprzedni kod, zgodnie ze standardem RFC 6238. Każdy kod nadal można użyć tylko raz, a po kilku nieudanych próbach logowanie zostaje zablokowane.
-
Długość kluczy zewnętrznych dostawców (V11.2.3, poziom 2): RSA-2048 od dostawców tożsamości i urządzeń passkey – dopuszczalne według NIST SP 800-131A do końca 2030 r.
Dlaczego?
Sam Complass szyfruje konsekwentnie z co najmniej 128 bitami bezpieczeństwa (klucze 256-bitowe). Dostawcy tożsamości, tacy jak Microsoft czy Google, oraz wiele urządzeń passkey podpisuje jednak za pomocą RSA-2048 (112 bitów). Akceptujemy te klucze zgodnie z NIST SP 800-131A do końca 2030 r.; od 2031 r. wymagamy co najmniej RSA-3072. Gdybyśmy dziś odrzucali RSA-2048, logowanie przez SSO i passkey nie byłoby już możliwe.
-
Klucze tajne bez osobnego sejfu kluczy (V13.3.1, poziom 2): przechowywane jako zaszyfrowane pliki na wydzielonej partycji danych zamiast w usłudze sejfu.
Dlaczego?
Klucze tajne są przechowywane w postaci zaszyfrowanej na wydzielonej partycji danych i mogą je odczytać tylko dwie usługi, które ich potrzebują. Na pojedynczym serwerze osobny sejf kluczy nie daje dodatkowej ochrony.
-
Automatyczne skany przy każdej zmianie
- Statyczna analiza kodu
- Wyszukiwanie przypadkowo zapisanych sekretów
- Wszystkie komponenty zewnętrzne sprawdzone pod kątem znanych luk
- Wykaz składników oprogramowania (SBOM)
- Dynamiczne skanowanie działającej aplikacji
-
Własny test penetracyjny automatyczny
Celowo atakujemy platformę w środowisku testowym z danymi demonstracyjnymi: rozdzielenie klientów, uprawnienia, logowanie i dane wejściowe.
Ostatni test: wersja 2.06, październik 2026
- Brak ustaleń krytycznych lub wysokich
- Średnie: 1 · Niskie: 5 – wszystkie usunięte przed wydaniem i ponownie sprawdzone
-
Przegląd każdej nowej funkcji przed każdym wydaniem
- Uprawnienia
- Rozdzielenie klientów
- Dane wejściowe
12,000+ testów automatycznych blokuje każde wydanie, jeśli któryś zawiedzie.
Czym jest OWASP ASVS i co oznaczają poziomy 1, 2 i 3?
Standard
Application Security Verification Standard (ASVS) to otwarty standard weryfikacji niekomercyjnej fundacji OWASP Foundation. W kilkuset pojedynczych wymaganiach określa, co musi zapewniać bezpieczna aplikacja internetowa: od logowania, sesji i uprawnień, przez obsługę danych wejściowych, po szyfrowanie i Logging. Aktualna wersja 5.0 ukazała się 2025.
Trzy poziomy
- Poziom 1
- Podstawowa ochrona przed oczywistymi, łatwymi do wykorzystania atakami. Minimum dla każdej aplikacji.
- Poziom 2
- Standard dla aplikacji z wrażliwymi lub krytycznymi dla działalności danymi, np. danymi osobowymi lub dokumentacją dotyczącą bezpieczeństwa informacji. Opiera się na poziomie 1.
- Poziom 3
- Najwyższy poziom dla szczególnie krytycznych systemów. Opiera się na poziomie 2.
Nasz stan
OWASP ASVS 5.0: poziom 1 w pełni wdrożony · poziom 2 98 % · poziom 3 88 % (samoocena, stan na 04.11.2026). Do tego zautomatyzowany pentest w dniu 24.10.2026. Trzy uzasadnione wyjątki, wskazane otwarcie. Jak liczymy
Każde wymaganie poziomów 1 i 2 oceniliśmy indywidualnie względem kodu i działania Complass i dla każdego wymagania zapisaliśmy dowód. Pełną ocenę powtarzamy dla każdej wersji głównej; przy każdym wydaniu ponownie sprawdzamy dotknięte nim wymagania.
Spełniamy standard bezpieczeństwa OWASP ASVS poziom 2 z wyjątkiem nielicznych, otwarcie wskazanych wyjątków. Tam, gdzie dodatkowo chroni to Państwa dane, spełniamy także wymagania najwyższego poziomu, poziomu 3. Należą do nich na przykład passkeys dla zespołu Complass, test rozdzielenia klientów na każdej trasie oraz log dostępu do odczytu przez API.
Czym to nie jest
To nie jest certyfikat: OWASP nie wydaje certyfikatów i sam nie testuje aplikacji. Nasza informacja jest samooceną Complass.
Szczegółowe przyporządkowanie dla każdego wymagania, z wdrożeniem, dowodem i krokami weryfikacji, zawiera nasze dossier bezpieczeństwa, które klienci i zainteresowani otrzymują po zawarciu umowy o zachowaniu poufności. Prosimy o wiadomość na adres info@complass.eu, temat „Sicherheitsdossier” (dossier bezpieczeństwa).
Wynik w skrócie
Publikujemy zwięzłe podsumowanie. Pojedynczych ustaleń nie podajemy publicznie, aby nikt nie mógł ich wykorzystać.
- Brak otwartych krytycznych ustaleń – we wszystkich kontrolach do 04.11.2026
- Każda kontrola udokumentowana – z datą, godziną i sprawdzanym stanem, także bez ustaleń
- Hosting w Niemczech – serwery Hetzner Online GmbH
- Asystent AI do wypełniania tylko na życzenie – domyślnie wyłączony, przetwarzanie w Amazon Web Services w regionie Frankfurt (Niemcy), bez trenowania na Państwa danych
- Usunięcie obejmuje też backupy – własny klucz kopii dla każdego klienta, niszczony wraz z usunięciem
Komunikaty bezpieczeństwa
Obecnie nie ma opublikowanych komunikatów bezpieczeństwa. Podatności prosimy zgłaszać na adres security@complass.eu (zob. security.txt).
Jak testujemy
Wszystkie informacje na tej stronie opierają się na naszych własnych kontrolach lub publicznych usługach testowych. Complass nie jest certyfikowany przez podmiot zewnętrzny.
| Rodzaj kontroli | Kto testuje | Częstotliwość |
|---|---|---|
| Ocena wg OWASP ASVS 5.0 | Complass, samoocena | W całości dla każdej wersji głównej, dotknięte wymagania przy każdym wydaniu |
| Skany statyczne i dynamiczne | Complass, automatycznie | Przy każdej zmianie w kodzie |
| Własny test penetracyjny | Complass, środowisko testowe z danymi demonstracyjnymi | Ostatni test: wersja 2.06, październik 2026 |
| TLS, nagłówki, security.txt | Publiczne usługi testowe | Po każdym wydaniu, w każdej chwili możliwe do samodzielnego sprawdzenia |
Zamów raport bezpieczeństwa i dossier bezpieczeństwa
Dwa dokumenty, w zależności od tego, jak dogłębna jest Państwa ocena.
-
Raport bezpieczeństwa bez NDA
Do oceny dostawcy: odpowiedzi na typowe pytania kwestionariusza bezpieczeństwa, wystawione na Państwa firmę.
Poproś o raport bezpieczeństwa -
Dossier i raport z testu penetracyjnego w ramach NDA
Do audytów i przeglądów technicznych: każde zabezpieczenie z wdrożeniem, dowodem i krokami weryfikacji. Do tego raport z ostatniego testu penetracyjnego (wersja 2.06, październik 2026) ze wszystkimi ustaleniami w szczegółach.
Po zawarciu umowy o zachowaniu poufności.
Poproś o dossier i raport z testu penetracyjnego
Lub e-mailem na adres info@complass.eu.
Znaleźli Państwo lukę w zabezpieczeniach? Prosimy o wiadomość na adres security@complass.eu. Wskazówki dotyczące zgłaszania znajdują się w naszym pliku security.txt.