Beveiliging · bewijs
Beveiliging die u kunt controleren
Wij toetsen Complass zelf, doorlopend en navolgbaar gedocumenteerd. Wat onafhankelijke diensten van buitenaf meten, kunt u met één klik zelf controleren.
Stand: 22.10.2026 · versie 2.15
Gemeten door onafhankelijke diensten
Deze resultaten komen van openbare testdiensten, niet van ons. De link toont telkens het actuele resultaat van de dienst.
-
Qualys SSL Labs A+
- Alleen TLS 1.2 en 1.3
- HSTS voor één jaar, inclusief subdomeinen
- Certificaat geldig, automatisch vernieuwd
-
Mozilla HTTP Observatory A+
- 12/12 tests
- Strikte Content Security Policy
- Bescherming tegen insluiting in andere sites
- Beveiligde cookies
-
security.txt volgens RFC 9116 aanwezig
- Vast contactpunt voor beveiligingsmeldingen
- Geldig tot 28.09.2027
- Duits en Engels
De cijfers tonen onze stand van 22.10.2026. De diensten meten openbaar bereikbare eigenschappen van onze website. Zij werken niet in onze opdracht en verlenen geen keurmerk.
Onze eigen controles
Wij toetsen onszelf, met eigen tools en zonder externe adviseurs. Dat zeggen wij openlijk, want het betekent: wij toetsen niet één keer per jaar, maar bij elke wijziging.
-
OWASP ASVS 5.0 Niveau 1 tot 3 · zelfbeoordeling
- 98 % Level 1
- 97 % Level 2
- 85 % Level 3
Elke eis afzonderlijk beoordeeld aan de code en de bedrijfsvoering. Een niveau noemen we pas behaald als alles is geïmplementeerd.
Gemotiveerde uitzonderingen (niet als voldaan meegeteld)
-
Sleutellengte van externe aanbieders (V11.2.3, niveau 2): RSA-2048 van identiteitsproviders en passkey-apparaten – toegestaan volgens NIST SP 800-131A tot eind 2030.
Waarom?
Complass zelf versleutelt overal met minstens 128 bit beveiliging (256-bit-sleutels). Identiteitsproviders zoals Microsoft of Google en veel passkey-apparaten ondertekenen echter met RSA-2048 (112 bit). Deze sleutels accepteren wij conform NIST SP 800-131A tot eind 2030; vanaf 2031 eisen wij minstens RSA-3072. Als wij RSA-2048 nu zouden weigeren, zou inloggen via SSO en passkey niet meer mogelijk zijn.
-
Geheime sleutels zonder aparte sleutelkluis (V13.3.1, niveau 2): opgeslagen als versleutelde bestanden op een eigen datapartitie in plaats van in een kluisdienst.
Waarom?
Geheime sleutels staan versleuteld op een eigen datapartitie en zijn alleen leesbaar voor de twee diensten die ze nodig hebben. Op één enkele server biedt een aparte sleutelkluis geen extra bescherming.
-
Automatische scans bij elke wijziging
- Statische code-analyse
- Zoeken naar per ongeluk opgeslagen geheimen
- Alle componenten van derden gecontroleerd op bekende kwetsbaarheden
- Softwarestuklijst (SBOM)
- Dynamische scan van de draaiende toepassing
-
Eigen penetratietest voor elke versie
Voor elke vrijgave vallen we de nieuwe versie gericht aan: scheiding van klanten, rechten, aanmelding en nieuwe functies. Er wordt getest in een testomgeving met demogegevens.
Laatste test: versie 2.06, oktober 2026
- Geen kritieke of hoge bevindingen
- Gemiddeld: 1 · Laag: 5 – alle vóór de levering opgelost en opnieuw gecontroleerd
-
Toetsing van elke nieuwe functie vóór elke vrijgave
- Rechten
- Scheiding van opdrachtgevers
- Invoer
10,000+ automatische tests blokkeren elke oplevering als er één faalt.
Wat is OWASP ASVS, en wat betekenen level 1, 2 en 3?
De standaard
De Application Security Verification Standard (ASVS) is een open toetsingsstandaard van de non-profitorganisatie OWASP Foundation. In enkele honderden afzonderlijke eisen legt hij vast wat een veilige webtoepassing moet kunnen: van aanmelden, sessies en rechten tot invoercontrole, versleuteling en logging. De actuele versie 5.0 is verschenen in 2025.
De drie levels
- Level 1
- Basisbescherming tegen voor de hand liggende, eenvoudig uit te buiten aanvallen. Het minimumniveau voor elke toepassing.
- Level 2
- De standaard voor toepassingen met gevoelige of bedrijfskritieke gegevens, zoals persoonsgegevens of documentatie over informatiebeveiliging. Bouwt voort op level 1.
- Level 3
- Het hoogste niveau, voor bijzonder kritieke systemen. Bouwt voort op level 2.
Onze stand
OWASP ASVS 5.0: niveau 1 98 % · niveau 2 97 % · niveau 3 85 % (zelfbeoordeling, stand 21.10.2026). Daarbij een geautomatiseerde pentest op 24.10.2026. Twee gemotiveerde uitzonderingen, openlijk vermeld. Zo tellen wij
Wij hebben elke eis van level 1 en 2 afzonderlijk beoordeeld aan de hand van de code en de bedrijfsvoering van Complass en per eis een bewijs vastgelegd. De beoordeling herhalen wij volledig per hoofdversie; bij elke release controleren wij de betrokken eisen opnieuw.
Wat het niet is
Geen certificaat: OWASP geeft geen certificaten uit en toetst toepassingen zelf niet. Onze verklaring is een zelfbeoordeling door Complass.
De uitgebreide toewijzing per eis met implementatie, bewijs en toetsstappen staat in ons beveiligingsdossier, dat klanten en geïnteresseerden ontvangen na het sluiten van een geheimhoudingsovereenkomst. Schrijf ons via info@complass.eu, onderwerp “Sicherheitsdossier” (beveiligingsdossier).
Resultaat in het kort
Wij publiceren een beknopte samenvatting. Afzonderlijke bevindingen noemen wij niet openbaar, zodat niemand ze kan uitbuiten.
- Geen openstaande kritieke bevindingen – over alle controles tot en met 22.10.2026
- Elke controle gedocumenteerd – met datum, tijd en gecontroleerde stand, ook zonder bevinding
- Hosting in Duitsland – servers van Hetzner Online GmbH
- Verwijdering geldt ook voor de backups – eigen backupsleutel per klant, vernietigd bij de verwijdering
Beveiligingsmeldingen
Er zijn momenteel geen gepubliceerde beveiligingsmeldingen. Meld kwetsbaarheden aan security@complass.de (zie security.txt).
Zo toetsen wij
Alle informatie op deze pagina berust op eigen controles of openbare testdiensten. Complass is niet gecertificeerd door een externe instantie.
| Soort controle | Wie toetst | Frequentie |
|---|---|---|
| Beoordeling volgens OWASP ASVS 5.0 | Complass, zelfbeoordeling | Volledig per hoofdversie, betrokken eisen per release |
| Statische en dynamische scans | Complass, geautomatiseerd | Bij elke wijziging in de code |
| Eigen penetratietest | Complass, testomgeving met demogegevens | Voor elke versie |
| TLS, headers, security.txt | Openbare testdiensten | Na elke release, op elk moment zelf te controleren |
Beveiligingsrapport en beveiligingsdossier aanvragen
Twee documenten, afhankelijk van hoe diep uw beoordeling gaat.
-
Beveiligingsrapport zonder NDA
Voor uw leveranciersbeoordeling: antwoorden op de gebruikelijke vragen van een beveiligingsvragenlijst, opgesteld op naam van uw organisatie.
Beveiligingsrapport aanvragen -
Dossier en penetratietestrapport onder NDA
Voor audits en technische beoordelingen: elke beveiligingsmaatregel met implementatie, bewijs en controlestappen. Daarbij het rapport van de laatste penetratietest (versie 2.06, oktober 2026) met alle bevindingen in detail.
Na het sluiten van een geheimhoudingsovereenkomst.
Dossier en penetratietestrapport aanvragen
Of per e-mail naar info@complass.eu.
Beveiligingslek gevonden? Schrijf naar security@complass.de. Aanwijzingen voor het melden staan in onze security.txt.