El embudo
El embudo es la primera cosa que ves de un repo. Cuenta, de izquierda a derecha, qué quita cada paso entre lo que dijeron los escáneres y lo que de verdad hay que corregir. Si una herramienta te da solo la primera cifra, te está dando el ruido.
- 199 Detecciones lo que dicen los escáneres · 100 %
- 151 Hallazgos únicos tras deduplicar · 76 %−48
- 127 Tras el triaje sin los descartados · 64 %−24
- 51 Para corregir con prioridad · 26 %−76
De 199 detecciones a 51 para corregir
- 199 Detecciones
- 151 Hallazgos únicos
- 127 Tras el triaje
- 51 Para corregir
Las cinco etapas
- Detecciones. Todo lo que dijeron los cuatro escáneres, tal cual. Es la cifra ruidosa.
- Hallazgos únicos. Lo mismo visto por dos escáneres cuenta una vez, y lo que ya estaba en el escaneo anterior se reconoce. Aquí no hay IA: son reglas con tests.
- Tras el triaje. Fuera lo que el analista ha descartado como falsa alarma. Se queda a la vista con su motivo.
- Piden acción. Lo que es Corregir o Revisar. Lo que está en Vigilar se ve aparte: es real pero no urge.
- Para corregir. La lista corta: lo real y aprovechable, por prioridad.
Cada etapa es también un filtro: al pulsarla, la lista de abajo enseña solo lo que queda en ese punto. Así se ve qué se descartó y por qué, y no solo cuánto.
Dos embudos, dos preguntas
- El del repo cuenta el último escaneo: responde a «¿qué ha pasado con la última subida?». En la portada del panel, el de todos los repos activos juntos.
- El de la lista cuenta todos los hallazgos abiertos, vengan del escaneo que vengan: responde a «¿qué tengo pendiente?». Un hallazgo que desaparece en un escaneo completo pasa a corregido; si vuelve, se reabre, con su historial.
El embudo de librerías
Las librerías tienen el suyo, porque la pregunta es otra: no «¿es real?» sino «¿me afecta y lo puedo arreglar?». Sus etapas: abiertas → en producción (fuera las de desarrollo) → con versión que lo arregla → posiblemente alcanzables → corregir. Lo que hay que corregir pero se queda fuera (sin arreglo publicado, o solo de desarrollo) se dice aparte, y el arreglo se agrupa por paquete: una actualización puede cerrar varios avisos.
«Alcanzable» es el juicio del analista leyendo dónde se importa el paquete, no un grafo de llamadas. Está contado en Las librerías que no elegiste.
Leerlo bien
- Un repo de pruebas no es tu repo. El de arriba va lleno de vulnerabilidades a propósito; por eso quedan 51 para corregir. En un repo normal quedan muchas menos.
- Lo descartado no desaparece. Pulsa la etapa «Tras el triaje» para ver qué se quitó y el porqué de cada uno. Si no estás de acuerdo, lo recuperas con un motivo.
- «Sin triar» se dice aparte. Mientras el analista trabaja, lo pendiente no cuenta ni como descartado ni como acción.