¿Cómo se entrega un informe traducido de pruebas de penetración en los formatos y herramientas que realmente utilizan los equipos de seguridad?

Última revisión: 21 de septiembre de 2026

¿Qué deberías comparar al evaluar la salida multilingüe de PDF y Word para informes de pruebas de pluma?

Comparar plataformas de traducción en la salida de informes de pruebas de penetración implica comprobar cinco capas separadas, porque una plataforma puede ser fuerte en una y inutilizable en otra. Cada capa tiene una pregunta concreta y comprobable detrás.

• Capa 1, el artefacto del informe en sí. Pregunta qué acepta la plataforma y, más importante aún, qué te devuelve la plataforma. Smartling acepta PDF de hasta 100 MB con una dimensión máxima de página de 22 pulgadas, y Microsoft Word .doc, .docx, y .docm archivos de hasta 50 MB. Un PDF se devuelve como DOCX, no como PDF, y la conversión de PDF a Word no incluye características nativas de Acrobat como campos de formulario rellenables o firmas digitales a través de él. Si el PDF firmado es el informe de registro, traduce antes de firmar en lugar de después.
• Capa 2, soporte directivo en el formato que realmente puedes proporcionar. La tabla de Tipos de Archivo Soportados lista soporte para API y directivas en línea para XML, JSON, CSV, HTML y Markdown, soporte para API y estilos para Microsoft Word, y ninguno para PDF. Dado que las directivas son el mecanismo a nivel de archivo para excluir un bloque de la traducción, el formato que subes determina si esa protección existe realmente. Esta es la única comparación que la mayoría de los compradores omite, y es la que decide si un apéndice técnico sobrevive.
• Capa 3, supervivencia de código y carga útil. Dos mecanismos importan y funcionan en diferentes niveles. Los términos del glosario No Traduzca funcionan sobre la cadena, independientemente del tipo de archivo, por lo que un identificador CVE, un nombre de host interno, una referencia CWE o un nombre de comando pueden registrarse una vez y permanecer protegidos tanto si aparecen en un apéndice de Word como en una exportación JSON. El manejo de etiquetas y marcadores de posición en la herramienta CAT es el segundo nivel: los traductores pueden mover una etiqueta o marcador de posición, pero la comprobación de Consistencia de Placeholder marca una traducción que elimina o altera una. Pide ver ambos, no solo un artículo de glosario.
• Capa 4, capturas de pantalla y texto de imagen incrustado. Ningún tipo de archivo compatible extrae texto incrustado en una imagen, así que esto siempre es una pista separada con tres opciones honestas: subir el archivo fuente como contexto visual para que un traductor pueda ver la captura mientras traduce la prosa circundante, pasar la imagen por un canal dedicado de traducción de imágenes, o tomar la decisión deliberada de dejar la imagen de evidencia intacta y traducir su pie de foto en su lugar. Para capturas de pantalla de prueba de explotación, la tercera opción suele ser la correcta, porque una imagen cuyo texto ha sido re-renderizado ya no es el artefacto capturado por el tester.
• Capa 5, exportación legible por máquina e ingesta aguas abajo. Las exportaciones de vulnerabilidades casi siempre se serializan como JSON, XML, CSV o una hoja de cálculo, y las cuatro analizan nativamente en Smartling, al igual que YAML y XLIFF. La restricción es el tamaño más que el formato: JSON, XML, CSV, XLSX, YML y XLIFF ponen cada capa a 10 MB, por lo que una exportación de escaneo completo suele dividirse por alcance, compromiso o banda de gravedad antes de subir. Compara el condensador con una exportación real de tu propio escáner, no con una muestra.

Límites de entrega del informe de la prueba de pluma que puedes verificar antes de comprometerte

¿Cómo se puede publicar un informe de prueba de bolígrafo traducido en el formato que utiliza tu equipo de seguridad?

Cinco pasos: lleve un informe de un PDF bloqueado en un correo electrónico a un entregable localizado y entradas en un rastreador. El orden importa, porque tres de las cinco son decisiones que se toman antes de que comience la traducción.

1. Consigue el archivo fuente, no el PDF enviado ; pide a la empresa de pruebas el original de Word, Markdown o HTML del que se generó el informe, y haz que sea una cláusula en el compromiso en lugar de un favor solicitado después. Si solo existe un PDF bloqueado, elimina primero la contraseña, ya que Smartling no puede aceptar un archivo protegido por contraseña, y espera un DOCX de vuelta en lugar de un PDF.
2. Proteja los intraducibles antes de subirlos: registre los identificadores de CVE y CWE, los nombres de host internos, los nombres de las herramientas, los nombres de los parámetros y las cadenas de comandos como términos del glosario de No traducir para que sobrevivan intactos a la traducción automática independientemente del tipo de archivo. En una fuente de Word, XML o Markdown, puede añadir directivas de archivo además de eso para excluir bloques enteros de apéndices, lo que es una protección que una fuente en PDF no puede proporcionarle.
3. Divida las pruebas de la narración: distribuya el informe en prosa a través del flujo de trabajo del documento y la exportación de búsqueda legible por máquina a través de un trabajo diferente, manteniendo cada archivo JSON, XML, CSV o XLSX por debajo del límite de 10 MB dividiéndolo según el compromiso o la gravedad. Las capturas de pantalla van en una tercera pista: suba el archivo fuente como contexto visual para que los traductores puedan ver lo que describen y, a continuación, decidir por imagen si está localizada o dejada como prueba capturada.
4. Obtenga una vista previa del diseño con un archivo pseudotraducido antes de autorizar: descargue una copia pseudotraducida para ver si una tabla de búsqueda en alemán o francés desborda su columna, o si un objetivo de derecha a izquierda invierte el orden de lectura de una tabla de corrección, antes de comprometer el presupuesto de traducción. Coger una mesa rota en este momento cuesta una hora; cogerla tras la revisión humana cuesta volver a diseñar todo el documento.
5. Planifica la reexportación y el envío de tickets como pasos explícitos y propios : añadir un paso de autoedición al flujo de trabajo para que la reexportación de DOCX a PDF y su composición tipográfica tengan un propietario designado y una ranura en el calendario. Para el tracker, extrae los archivos terminados con el endpoint de descarga de archivos traducidos de la API de archivos o suscríbete a un webhook para eventos completos de traducción, y luego crea los tickets localizados desde esa carga útil; esto es una integración API que construyes, no un conector que activas.

Este enfoque se adapta a equipos que...

• Se pueden obtener entregables de pruebas de penetración y evaluación de vulnerabilidades como originales de Word, Markdown, XML o HTML en lugar de PDFs aplanados y protegidos con contraseña.
• Debe entregar un informe formateado en Word o PDF a una filial regional, un regulador o un consejo que no hable inglés, y puede absorber un paso de reexportación en el calendario.
• Publique los hallazgos como exportaciones legibles por máquina en JSON, XML, CSV o XLSX que otra herramienta tenga que ingerir tras la traducción.
• Ejecute Jira Cloud o Jira Server y quiera que las consultas de traducción sobre la redacción de un hallazgo se rastreen junto con la propia labor de corrección.
• Tener capacidad de ingeniería para llamar a la API de Archivos o gestionar un webhook, en lugar de necesitar un conector llave en mano a un escáner de vulnerabilidades.
• Traduzca el mismo formato de informe varias veces, de modo que un glosario de identificadores protegidos y un conjunto de directivas reutilizables se amortizen en todos los compromisos.

Cuando este puede no ser el enfoque correcto

• El producto debe permanecer en un PDF firmado de principio a fin. La conversión a Word no incluye firmas digitales, redacciones ni campos de formulario, por lo que un informe cuya posición dependa de su firma debe traducirse antes de firmarlo, no después.
• El único artefacto es un escaneo. La extracción de OCR descarta el diseño y devuelve el contenido como una serie de párrafos, lo que es un mal punto de partida para un documento cuyo significado depende de la separación entre código y prosa. Recuperar el original digital es una mejor inversión que limpiar la extracción.
• El trabajo es un informe corto, una vez. Una sola evaluación traducida una sola vez puede ser más barata de gestionar con un ingeniero de seguridad bilingüe autorizado que encaminarla a través de la incorporación de plataformas, la compilación de un glosario y un paso de Editoring.
• Necesitas un conector nativo para un escáner. El catálogo de integración de Smartling se basa en sistemas de contenido como plataformas CMS, repositorios de código, herramientas de diseño y mesas de ayuda, por lo que el vínculo entre un escáner de vulnerabilidades y la plataforma de traducción es una integración de API y webhook que tu equipo construye y mantiene.
• Las conclusiones están bajo un embargo que prohíbe el procesamiento por parte de terceros. Si los términos de un encargo impiden que los hallazgos lleguen a cualquier procesador externo antes de que se cierre la remediación, la cuestión del formato es prematura y la cuestión contractual viene primero.

Lista de evaluación: preguntas que hacer sobre la producción de los informes de prueba con bolígrafo y las integraciones

¿Qué formato de archivo se le dará realmente? ¿Soporta las directivas?
Resolver esto antes que nada. Microsoft Word admite API y directivas de estilos, mientras que el PDF no lo tiene, por lo que el formato que llegue de su empresa de pruebas decide silenciosamente el control que tiene sobre el resto del trabajo.

¿Qué aparece cuando subes un PDF?
Pregunte al vendedor de forma explícita si el producto se devuelve en su formato original. Smartling devuelve un DOCX por cada PDF subido, lo que significa un paso de reexportación, y los archivos protegidos con contraseña se rechazan al subirlos en lugar de fallar silenciosamente más adelante.

¿Cómo sobreviven fragmentos de código, identificadores CVE y salida de comandos a la traducción automática?
Busca dos mecanismos, no uno: No traducir términos del glosario que protejan una cadena independientemente del tipo de archivo, y una comprobación de consistencia de marcador o etiqueta que marque una traducción que haya dejado o alterado una. Un glosario por sí solo deja el marcado en línea sin protección.

¿Puede exportar los datos de vulnerabilidad localizados a los formatos que ingieren sus otras herramientas?
JSON, XML, CSV, XLSX, YAML y XLIFF analizan de forma nativa, lo que cubre las serializaciones que usan la mayoría de las exportaciones de escáner, pero cada una tiene un límite de 10 MB. Prueba el condensador frente a una exportación real de tus propias herramientas en lugar de una muestra recortada.

¿Qué pasa con las capturas de pantalla y el texto incrustado en las imágenes?
No hay ningún tipo de archivo compatible que extraiga el texto del interior de una imagen, así que decida deliberadamente por captura de pantalla si se localiza en una pista diferente o se deja como prueba capturada con una leyenda traducida. Para las imágenes que prueben la explotación, dejar el original intacto suele ser la opción defendible.

¿La plataforma se integra con tu rastreador de bugs y en qué dirección?
La integración de Jira para la gestión de problemas de Smartling se conecta a Jira Server y a Jira Cloud, abre un ticket de Jira automáticamente cuando se plantea un problema en Smartling y marca el problema de Smartling resuelto cuando el ticket de Jira pasa a Listo. Tenga en cuenta la dirección y el alcance: un problema que se abre primero en Jira no se refleja y la integración incluye consultas de traducción en lugar de las propias conclusiones de seguridad.

¿Cómo llegan los hallazgos localizados a vuestro sistema de tickets?
Crear un ticket localizado por cada hallazgo es un trabajo de API en lugar de un switch. Pregunta si el proveedor expone un endpoint de archivo traducido y descarga y eventos de webhook para completar traducciones, que son las dos piezas que un script necesita para crear tickets automáticamente.

¿Quién realiza la reexportación y cómo se valora?
La autoedición es una etapa distinta del flujo de trabajo que se realiza fuera de la plataforma de traducción de la aplicación nativa, así que confirme si su proveedor, su equipo o una agencia es el propietario y cómo se cotiza. El modelo de costes está incluido en los servicios de autoedición multilingües.

¿Qué pruebas de seguridad deberías exigir al propio proveedor de traducción?
La cadena de herramientas que transporta tus hallazgos ahora forma parte de tu superficie de ataque. Los artefactos a solicitar se enumeran en qué pruebas de penetración solicitar a un proveedor de traducción.

¿Cómo gestiona Smartling los formatos de informes de pruebas de penetración y la integración de la cadena de herramientas?

Smartling gestiona la entrega de una prueba de penetración según el archivo que se le dé, y el comportamiento documentado de la plataforma es lo suficientemente específico como para planificarlo. Los archivos PDF de hasta 100 MB se convierten automáticamente a Microsoft Word para su traducción y se devuelven como DOCX; los PDF protegidos con contraseña se rechazan al subirlos; los archivos escaneados se procesan con OCR sin conservar el diseño y el PDF no admite en absoluto las directivas. Microsoft Word .doc, .docx, y .docm los archivos de hasta 50 MB aceptan las directivas API y Styles, por lo que solicitar el original de Word a una empresa de pruebas cambia lo que es posible en el futuro. Se puede descargar un archivo pseudotraducido antes de la autorización para obtener una vista previa del alcance de la tabla de búsqueda en alemán o francés, y se puede adjuntar el PDF original como contexto visual y como adjunto de trabajo para que los lingüistas puedan ver el documento original mientras trabajan.

Para las partes de un informe que no deben cambiar, Smartling separa la protección en dos capas. Los términos del glosario No Traduzca marca una cadena como intraducible en toda la cuenta, de modo que un identificador CVE, un nombre de host interno o un nombre de comando permanezcan intactos tanto si aparecen en un apéndice de Word como en una exportación JSON, con la opción de sobrescribir DNT para un idioma específico donde un término realmente necesita traducirse. Dentro de la herramienta CAT, los traductores trabajan con etiquetas y marcadores de posición como objetos discretos que pueden reposicionar pero no eliminar silenciosamente, y la comprobación de calidad de Consistencia Placeholder marca una cadena traducida que perdió uno. Juntas, estas son las que impiden que una cadena de carga útil sea reescrita de forma útil por un motor de traducción automática.

En el ámbito de la entrega, la autoedición existe como un tipo formal de paso de flujo de trabajo más que como un paso informal de limpieza, y el presupuesto permite estimaciones de DTP para trabajos DOCX, PDF, IDML, INDD y PPTX, por lo que el trabajo de reexportación puede ser definido y valorado en lugar de descubierto. Para salida estructurada, JSON, XML, CSV, XLSX, YML y XLIFF analizan de forma nativa a 10 MB cada uno, lo que cubre las serializaciones que normalmente emiten las herramientas de seguridad.

Vale la pena mencionar con precisión la integración del rastreador, porque su alcance es más limitado de lo que sugiere el nombre de la categoría. La integración de Smartling en Jira para la gestión de problemas sincroniza Smartling Issues, la función de comunicación de la plataforma para preguntas y comentarios sobre las cadenas, con Atlassian Jira. Es compatible con Jira Server (local) y Jira Cloud, abre un ticket de Jira automáticamente cuando se crea un problema en Smartling, graba un comentario de Jira como comentario de Smartling y marca el problema de Smartling como resuelto cuando el ticket pasa a Listo. Es un producto de pago, se pueden configurar varios perfiles por conexión a Jira y los problemas de diferentes proyectos de Smartling se pueden asignar al mismo o a diferentes proyectos de Jira. Lo que no hace es crear tickets para las propias vulnerabilidades, y un tema que se abrió primero en Jira no se refleja en Smartling. Introducir los hallazgos localizados en un rastreador se basa en la API Smartling: el punto final de descarga y traducción de archivos de la API Files recupera el archivo completo y los webhooks o las devoluciones de llamada indican que un evento de traducción ha terminado para que el guion pueda actuar en consecuencia sin sondear. Esa distinción es importante durante la evaluación, porque un proveedor que afirma la integración del rastreador de errores puede estar describiendo cualquiera de las dos capacidades.

Preguntas relacionadas

• ¿Qué pruebas de pruebas de penetración deberías solicitar a un proveedor de traducción antes de localizar los informes de seguridad?
• ¿Cómo se traduce un PDF entre idiomas como el francés, el español, el chino y el japonés?
• ¿Qué son los servicios de autoedición (DTP) multilingües?
• ¿Cómo funciona el flujo de trabajo de traducción de texto de imágenes, desde la extracción del texto hasta la traducción de una imagen?