Come si consegna un rapporto di penetration test tradotto nei formati e negli strumenti che effettivamente utilizzano i team di sicurezza?

Ultimo aggiornamento: 21 settembre 2026

Cosa dovresti confrontare quando valuti l'output PDF e Word multilingue per i report di test a penna?

Confrontare le piattaforme di traduzione basandosi sui risultati dei test di penetrazione significa verificare cinque livelli distinti, perché una piattaforma può essere efficace in un ambito e inutilizzabile in un altro. Ogni livello ha una domanda concreta e verificabile alla base.

• Livello 1, l'artefatto del rapporto stesso. Chiedi cosa accetta la piattaforma e, cosa più importante, cosa restituisce. Smartling accetta PDF fino a 100 MB con una dimensione massima di pagina di 22 pollici, e Microsoft Word .doc, .docx, e .docm file fino a 50 MB. Un PDF restituisce come DOCX, non come PDF, e la conversione da PDF a Word non comporta funzionalità native di Acrobat come campi di modulo compilabili o firme digitali. Se il PDF firmato è il rapporto di registrazione, traduci prima di firmare piuttosto che dopo.
• Livello 2, supporto direttivo sul formato che puoi effettivamente fornire. La tabella Tipi di File Supportati elenca il supporto API e direttive inline per XML, JSON, CSV, HTML e Markdown, il supporto API e Styles per Microsoft Word, e nessuno per PDF. Poiché le direttive sono il meccanismo a livello di file per escludere un blocco dalla traduzione, il formato che carichi determina se tale protezione esiste davvero. Questo è il confronto unico che la maggior parte degli acquirenti salta e che decide se sopravviva un appendice tecnica.
• Livello 3, sopravvivenza al codice e al carico utile. Due meccanismi contano e funzionano a livelli diversi. I termini del glossario Do Not Translate operano sulla stringa, indipendentemente dal tipo di file, quindi un identificatore CVE, un nome host interno, un riferimento CWE o un nome di comando possono essere registrati una sola volta e rimanere protetti, sia che appaia in un'appendice Word sia in un'esportazione JSON. La gestione di tag e segnaposto nello strumento CAT è il secondo livello: i traduttori possono spostare un tag o un segnaposto ma il controllo di coerenza segna una traduzione che ne elimina o rovina uno. Chiedi di vedere entrambi, non solo una funzione del glossario.
• Livello 4, screenshot e testo immagine incorporato. Nessun tipo di file supportato estrae testo integrato in un'immagine, quindi questa è sempre una traccia separata con tre opzioni oneste: caricare il file sorgente come contesto visivo affinché un traduttore possa vedere lo screenshot mentre traduce la prosa circostante, far passare l'immagine attraverso una pipeline dedicata alla traduzione delle immagini, oppure prendere una decisione deliberata di lasciare l'immagine delle prove intatta e tradurne la didascalia. Per gli screenshot proof-of-exploitation, la terza opzione è spesso quella corretta, perché un'immagine il cui testo è stato rirenderizzato non è più l'artefatto catturato dal tester.
• Livello 5, esportazione e ingestione a valle leggibili dalla macchina. Le esportazioni delle vulnerabilità sono quasi sempre serializzate come JSON, XML, CSV o foglio di calcolo, e tutte e quattro analizzano nativamente in Smartling, così come YAML e XLIFF. Il vincolo è la dimensione più che il formato: JSON, XML, CSV, XLSX, YAML e XLIFF mettono ciascuno un capo a 10 MB, quindi un'esportazione a scansione completa dell'estate di solito deve essere suddivisa per scope, engagement o banda di gravità prima del caricamento. Controlla il condensatore rispetto a un'esportazione reale dal tuo scanner, non con un campione.

Limiti di consegna del report del penetration test che puoi verificare prima di impegnarti

Come si fa a pubblicare un rapporto di test di penna tradotto nel formato utilizzato dal tuo team di sicurezza?

Cinque passaggi: un report da un PDF bloccato in un'email a un consegnabile localizzato più i ticket in un tracker. L'ordine conta, perché tre dei cinque sono decisioni prese prima che inizi qualsiasi traduzione.

1. Prendi il file sorgente, non il PDF spedito - Chiedi all'azienda di test l'originale Word, Markdown o HTML da cui è stato generato il report, e rendilo una clausola nell'engagement invece che un favore richiesto dopo. Se esiste solo un PDF bloccato, rimuovi prima la password, poiché Smartling non può accettare un file protetto da password, e aspettati un ritorno DOCX invece di un PDF.
2. Confina gli intraducibili prima del caricamento - registra identificatori CVE e CWE, nomi host interni, nomi degli strumenti, nomi dei parametri e stringhe di comando come termini del glossario Do Not Translate, così che sopravvivano intatti alla traduzione automatica indipendentemente dal tipo di file. Su una sorgente Word, XML o Markdown puoi aggiungere direttive file sopra per escludere interi blocchi appendici, che è una protezione che una sorgente PDF non può offrirti.
3. Separa le prove dalla narrazione : instrada la parte testuale del rapporto attraverso il flusso di lavoro dei documenti e l'esportazione dei risultati in formato leggibile dalla macchina attraverso un processo separato, mantenendo ogni file JSON, XML, CSV o XLSX al di sotto del limite di 10 MB suddividendolo in base al coinvolgimento o alla gravità. Gli screenshot seguono un terzo percorso: caricare il file sorgente come contesto visivo in modo che i traduttori possano vedere cosa stanno descrivendo, quindi decidere per ogni immagine se localizzarla o lasciarla come prova acquisita.
4. Visualizza in anteprima il layout con un file pseudo-tradotto prima di autorizzare la traduzione : scarica una copia pseudo-tradotta per verificare dove una tabella di ricerca in tedesco o francese fuoriesce dalla colonna o dove un target da destra a sinistra inverte l'ordine di lettura di una tabella di recupero, prima di impegnare il budget per la traduzione. Individuare una tabella errata in questa fase richiede un'ora di lavoro; individuarla dopo una revisione umana richiede la riprogettazione dell'intero documento.
5. Pianifica la riesportazione e il push dei ticket come passaggi espliciti e di proprietà - Aggiungi un passaggio di Desktop Publishing al flusso di lavoro così che la riesportazione da DOCX-to-PDF e la sua composizione tipografica abbiano un proprietario nominato e uno slot nel programma. Per il tracker, estrai i file finiti con l'endpoint Files API download-translated-file oppure iscriviti a un webhook per eventi di traduzione completa, poi crea i ticket localizzati da quel payload; questa è un'integrazione API che costruisci, non un connettore che accendi.

Questo approccio si adatta a squadre che...

• Può ottenere risultati di test di penetrazione e valutazione delle vulnerabilità come originali Word, Markdown, XML o HTML invece di PDF appiattiti protetti da password.
• Deve consegnare un rapporto Word o PDF formattato a una controllata regionale, a un ente regolatore o a un consiglio non anglofono, e può assorbire una fase di riesportazione nel programma.
• Pubblica i risultati come file leggibili automaticamente in formato JSON, XML, CSV o XLSX, che un altro strumento dovrà poi elaborare dopo la conversione.
• Esegui Jira Cloud o Jira Server e vuoi che le query di traduzione sulla formulazione di un risultato vengano monitorate insieme al lavoro di bonifica stesso.
• Disporre di competenze ingegneristiche per richiamare l'API File o gestire un webhook, anziché aver bisogno di un connettore preconfigurato per uno scanner di vulnerabilità.
• Traduci ripetutamente lo stesso formato di rapporto, così un glossario di identificatori protetti e una direttiva riutilizzabile si stabiliscano per se stessi tra i paesi.

Quando questo potrebbe non essere l'approccio giusto

• Il documento finale deve rimanere un PDF firmato dall'inizio alla fine. La conversione in Word non trasferisce firme digitali, omissioni o campi modulo, pertanto un documento la cui validità dipende dalla firma deve essere tradotto prima della firma, non dopo.
• L'unico artefatto è una scansione. L'estrazione OCR scarta il layout e restituisce il contenuto come una serie di paragrafi, il che è un punto di partenza poco efficace per un documento il cui significato dipende dalla separazione tra codice e prosa. Recuperare nuovamente l'originale digitale è un investimento migliore che ripulire l'estrazione.
• Il lavoro è un breve rapporto, una volta. Una singola valutazione tradotta una sola volta può essere più economica da gestire con un ingegnere di sicurezza bilingue autorizzato rispetto a instradare attraverso l'onboarding della piattaforma, la costruzione di un glossario e una fase di Desktop Publishing.
• È necessario un connettore nativo per lo scanner. Il catalogo di integrazioni di Smartling è costruito attorno a sistemi di gestione dei contenuti come piattaforme CMS, repository di codice, strumenti di progettazione e help desk, quindi il collegamento tra uno scanner di vulnerabilità e la piattaforma di traduzione è un'integrazione API e webhook che il tuo team crea e gestisce.
• I risultati sono soggetti a un embargo che vieta il trattamento da parte di terzi. Se i termini di un incarico impediscono che i risultati vengano trasmessi a qualsiasi responsabile esterno prima della conclusione della fase di bonifica, la questione del formato è prematura e la questione contrattuale viene prima di tutto.

Lista di controllo per la valutazione: domande da porre in merito all'output del report del penetration test e alle integrazioni.

Quale formato di file ti verrà effettivamente fornito e supporta le direttive?
Risolvi questa cosa prima di ogni altra cosa. Microsoft Word supporta API e direttive Styles mentre PDF non ne supporta, quindi il formato che arriva dalla tua società di testing decide silenziosamente quanto controllo hai sul resto del lavoro.

Cosa ti restituisce quando carichi un PDF?
Chiedi esplicitamente al fornitore se la consegna restituisce nel suo formato originale. Smartling restituisce un DOCX per ogni PDF caricato, il che significa un passaggio di riesportazione, e i file protetti da password vengono rifiutati al caricamento invece di fallire silenziosamente in seguito.

Come fanno a sopravvivere frammenti di codice, identificatori CVE e output dei comandi alla traduzione automatica?
Cerca due meccanismi, non uno: i termini del glossario Non Tradurre che proteggono una stringa indipendentemente dal tipo di file, e un controllo di coerenza segnaposto o di tag che segnala una traduzione che ne ha abbandonata o distorta. Un glossario da solo lascia il markup in linea non protetto.

È possibile esportare i dati delle vulnerabilità localizzate nei formati che gli altri strumenti assumono?
JSON, XML, CSV, XLSX, YAML e XLIFF analizzano tutti nativamente, il che copre le serializzazioni usate dalla maggior parte delle esportazioni scanner, ma ciascuno ha un limite di 10 MB. Confronta il condensatore con una vera esportazione dal tuo stampo invece che con un campione ritagliato.

Cosa succede agli screenshot e al testo incorporato nelle immagini?
Nessun tipo di file supportato estrae il testo dall'interno di un'immagine, quindi decidi attentamente per ogni screenshot se localizzarlo in una traccia separata o lasciarlo come prova acquisita con una didascalia tradotta. Nel caso di immagini che dimostrino lo sfruttamento di un reato, lasciare l'originale intatto è spesso la scelta più difendibile.

La piattaforma si integra con il tuo bug tracker, e in quale direzione?
L'integrazione Jira di Smartling per la gestione dei problemi si collega sia a Jira Server che a Jira Cloud, apre automaticamente un ticket Jira quando un problema viene sollevato in Smartling e segna la risoluzione del problema Smartling quando il ticket Jira passa a Completato. Nota la direzione e l'ambito: un problema aperto per primo in Jira non viene riflesso, e l'integrazione comporta query di traduzione invece che i risultati di sicurezza stessi.

Come entrano i risultati localizzati nel vostro sistema di ticketing?
Creare un ticket localizzato per ogni scoperta è un lavoro API piuttosto che uno switch. Chiedi se il fornitore espone un endpoint di file tradotto per scaricare e eventi webhook per completare la traduzione, che sono i due elementi di cui uno script ha bisogno per creare automaticamente i ticket.

Chi effettua la riesportazione e come viene fissata il prezzo?
Il Desktop Publishing è una fase distinta del flusso di lavoro che viene eseguita al di fuori della piattaforma di traduzione nell'applicazione nativa, quindi verifica se è gestita dal tuo fornitore, dal tuo team o da un'agenzia e come viene quotata. Il modello di costo è descritto nella sezione "Cosa sono i servizi di desktop publishing multilingue".

Quali prove di sicurezza dovresti richiedere direttamente al fornitore di traduzioni?
La catena di attrezzi che trasporta le tue scoperte ora fa parte della tua superficie di attacco. Gli artefatti da richiedere sono elencati in quali prove di penetrazione richiedere a un fornitore di traduzione.

Come gestisce Smartling i formati dei report di pen-test e l'integrazione con la toolchain?

Smartling gestisce i risultati dei test di penetrazione in base al file fornito e il comportamento documentato della piattaforma è sufficientemente specifico da consentire una pianificazione adeguata. I file PDF fino a 100 MB vengono convertiti automaticamente in Microsoft Word per la traduzione e restituiti come DOCX; i PDF protetti da password vengono rifiutati al momento del caricamento; i file scansionati vengono elaborati con OCR senza conservare il layout; e le direttive non sono supportate nei file PDF. Microsoft Word .doc, .docx, e .docm I file fino a 50 MB accettano sia le direttive API che quelle di stile, motivo per cui richiedere il file Word originale a un'azienda di test modifica le possibilità a valle. Prima dell'autorizzazione, è possibile scaricare un file pseudo-tradotto per visualizzare in anteprima l'espansione di una tabella di risultati in tedesco o francese. Il PDF originale può essere allegato come contesto visivo e come allegato al progetto, consentendo ai linguisti di consultare il documento originale durante il lavoro.

Per le parti di un rapporto che non devono cambiare, Smartling separa la protezione in due livelli. I termini del glossario Non Tradurre segnano una stringa come non traducibile su tutto l'account, così un identificatore CVE, un nome host interno o un nome di comando rimangono intatti sia che appaian in un'appendice Word sia in un'esportazione JSON, con l'opzione di sovrascrivere DNT per una specifica lingua in cui un termine necessita davvero di essere tradotto. All'interno dello strumento CAT, i traduttori lavorano con tag e segnaposto come oggetti discreti che possono riposizionare ma non eliminare silenziosamente, e il controllo qualità di Consistenza Placeholder segnala una stringa tradotta che ne ha persa una. Insieme, questi sono ciò che impedisce che una stringa di payload venga riscritta in modo utile da un motore di traduzione automatica.

Dal lato della consegna, il desktop publishing esiste come un tipo formale di passaggio di workflow piuttosto che come un passaggio informale di pulizia, e il preventivo supporta stime DTP per lavori DOCX, PDF, IDML, INDD e PPTX, così che il lavoro di riesportazione possa essere definito e prezzato piuttosto che scoperto. Per output strutturato, JSON, XML, CSV, XLSX, YAML e XLIFF analizzano tutti nativamente a 10 MB ciascuno, che copre le serializzazioni tipicamente emesse dagli strumenti di sicurezza.

È opportuno specificare l'integrazione con il tracker, poiché il suo ambito è più ristretto di quanto suggerisca il nome della categoria. L'integrazione di Smartling con Jira per la gestione dei problemi sincronizza i problemi di Smartling, la funzionalità di comunicazione della piattaforma per domande e feedback sulle stringhe, con Atlassian Jira. Supporta Jira Server (in locale) e Jira Cloud, apre automaticamente un ticket Jira quando viene creato un problema in Smartling, registra un commento di Jira come commento di Smartling e contrassegna il problema di Smartling come risolto quando il ticket passa allo stato Completato. Si tratta di un prodotto a pagamento, è possibile configurare più profili per ogni connessione Jira e i ticket provenienti da diversi progetti Smartling possono essere mappati allo stesso progetto Jira o a progetti Jira diversi. Ciò che non fa è creare ticket per le vulnerabilità stesse, e un problema aperto inizialmente in Jira non viene riportato in Smartling. L'invio dei risultati localizzati a un tracker si basa invece sull'API Smartling: l'endpoint download-translated-file dell'API Files recupera il file completato e i webhook o le callback segnalano quando un evento di traduzione è terminato, in modo che uno script possa agire di conseguenza senza dover effettuare il polling. Tale distinzione è importante in fase di valutazione, perché un fornitore che dichiara l'integrazione con un sistema di tracciamento dei bug potrebbe riferirsi all'una o all'altra funzionalità.

Domande correlate

• Quali prove di penetration testing dovresti richiedere a un fornitore di servizi di traduzione prima di localizzare i report di sicurezza?
• Come si traduce un PDF tra lingue come francese, spagnolo, cinese e giapponese?
• Cosa sono i servizi di desktop publishing multilingue (DTP)?
• Come funziona un flusso di lavoro di traduzione di testo da immagine, dall'estrazione del testo all'immagine tradotta?