¿Cómo se entrega un reporte traducido de pruebas de penetración en los formatos y herramientas que realmente emplean los equipos de seguridad?

Última revisión: 21 de septiembre de 2026

¿Qué deberías comparar al evaluar la salida multilingüe de PDF y Word para reportes de pruebas de pluma?

Comparar las plataformas de traducción en función de los resultados de los reportes de pruebas de penetración implica revisar cinco niveles distintos, ya que una plataforma puede ser eficaz en uno de ellos e inutilizable en otro. Cada capa tiene detrás una pregunta concreta y verificable.

• Capa 1, el artefacto del reporte en sí. Pregunta qué acepta la plataforma y, más importante aún, qué te devuelve la plataforma. Smartling acepta PDF de hasta 100 MB con una dimensión máxima de página de 22 pulgadas, y Microsoft Word .doc, .docx, y .docm archivos de hasta 50 MB. Un PDF se devuelve como DOCX, no como PDF, y la conversión de PDF a Word no incluye características nativas de Acrobat como campos de formulario rellenables o firmas digitales a través de él. Si el PDF firmado es el reporte de registro, traduce antes de firmar en lugar de después.
• Capa 2, soporte directivo en el formato que realmente puedes proporcionar. La tabla de Tipos de Archivo Soportados lista soporte para API y directivas en línea para XML, JSON, CSV, HTML y Markdown, soporte para API y estilos para Microsoft Word, y ninguno para PDF. Dado que las directivas son el mecanismo a nivel de archivo para excluir un bloque de la traducción, el formato que subes determina si esa protección existe realmente. Esta es la única comparación que la mayoría de los compradores omite, y es la que decide si un apéndice técnico sobrevive.
• Capa 3, supervivencia de código y carga útil. Dos mecanismos importan y funcionan en diferentes niveles. Los términos del glosario No Traduzca funcionan sobre la cadena, independientemente del tipo de archivo, por lo que un identificador CVE, un nombre de host interno, una referencia CWE o un nombre de comando pueden registrar una vez y permanecer protegidos tanto si aparecen en un apéndice de Word como en una exportación JSON. El manejo de etiquetas y marcadores de posición en la herramienta CAT es el segundo nivel: los traductores pueden mover una etiqueta o marcador de posición, pero la comprobación de Consistencia de Placeholder marca una traducción que elimina o altera una. Pide ver ambos, no solo un artículo de glosario.
• Capa 4, capturas de pantalla y texto de imagen incrustado. Ningún tipo de archivo compatible extrae el texto incrustado en una imagen, por lo que siempre se trata de una vía aparte con tres opciones claras: subir el archivo fuente como contexto visual para que un traductor pueda ver la captura de pantalla mientras traduce el texto circundante, procesar la imagen mediante un sistema de traducción de imágenes específico o tomar la decisión deliberada de dejar la imagen original intacta y traducir su pie de foto en su lugar. En el caso de las capturas de pantalla que demuestran la explotación de una vulnerabilidad, la tercera opción suele ser la correcta, ya que una imagen cuyo texto fue modificado ya no es el artefacto que capturó el evaluador.
• Capa 5, exportación legible por máquina e ingesta aguas abajo. Las exportaciones de vulnerabilidades casi siempre se serializan como JSON, XML, CSV o una hoja de cálculo, y las cuatro analizan nativamente en Smartling, al igual que YAML y XLIFF. La restricción es el tamaño más que el formato: JSON, XML, CSV, XLSX, YML y XLIFF ponen cada capa a 10 MB, por lo que una exportación de escaneo completo suele dividir por alcance, compromiso o banda de gravedad antes de subir. Compara el condensador con una exportación real de tu propio escáner, no con una muestra.

Límites de entrega de reportes de pruebas de penetración que puede verificar antes de comprometer.

¿Cómo se puede publicar un reporte de prueba de bolígrafo traducido en el formato que emplea tu equipo de seguridad?

Cinco pasos: un reporte de un PDF bloqueado en un email a un entregable localizado más tiquetes en un rastreador. El orden importa, porque tres de las cinco decisiones se toman antes de que comience cualquier traducción.

1. Consigue el archivo fuente, no el PDF enviado ; pide a la compañía de pruebas el original de Word, Markdown o HTML del que se generó el reporte, y haz que sea una cláusula en el compromiso en lugar de un favor aplicar después. Si solo existe un PDF bloqueado, elimina primero la contraseña, ya que Smartling no puede aceptar un archivo protegido por contraseña, y espera un DOCX de vuelta en lugar de un PDF.
2. Protege los intraducibles antes de subir : registra identificadores CVE y CWE, nombres internos de host, nombres de herramientas, nombres de parámetros y cadenas de comandos como términos de glosario No traducir para que sobrevivan intactos a la traducción automática, independientemente del tipo de archivo. En una fuente de Word, XML o Markdown puedes agregar directivas de archivo encima para excluir bloques completos de apéndice, que es una protección que una fuente PDF no puede ofrecerte.
3. Separe la evidencia de la narrativa : dirija la prosa del reporte a través del flujo de trabajo del documento y la exportación de hallazgos legibles por máquina a través de un trabajo separado, manteniendo cada archivo JSON, XML, CSV o XLSX por debajo del límite de 10 MB dividiéndolo por nivel de participación o gravedad. Las capturas de pantalla siguen una tercera vía: subir el archivo fuente como contexto visual para que los traductores puedan ver lo que están describiendo y, a continuación, decidir, imagen por imagen, si se localiza o se deja como prueba capturada.
4. Previsualice el diseño con un archivo pseudotraducido antes de autorizarlo : descargue una copia pseudotraducida para ver dónde una tabla de resultados en alemán o francés desborda su columna, o dónde un destino de derecha a izquierda invierte el orden de lectura de una tabla de corrección, antes de comprometer la cotización de traducción. Detectar un error en una tabla en este punto cuesta una hora; detectarlo luego de una revisión humana implica rediseñar todo el documento.
5. Planee la reexportación y el envío de tiquetes como pasos explícitos y definidos : agregue un paso de autoedición al flujo de trabajo para que la reexportación de DOCX a PDF y su composición tipográfica tengan un responsable asignado y un espacio en el cronograma. Para el sistema de seguimiento, descargue los archivos terminados con el punto final download-translated-file de la API de archivos o suscribir a un webhook para eventos translation-complete y, a continuación, cree los tiquetes localizados a partir de esa carga útil; se trata de una integración de API que usted crea, no de un conector que simplemente activa.

Este enfoque se adapta a equipos que...

• Se pueden obtener entregables de pruebas de penetración y evaluación de vulnerabilidades como originales de Word, Markdown, XML o HTML en lugar de PDFs aplanados y protegidos con contraseña.
• Debe entregar un reporte formateado en Word o PDF a una filial regional, un regulador o un consejo que no hable inglés, y puede absorber un paso de reexportación en el calendario.
• Publique los resultados como exportaciones legibles por máquina en formato JSON, XML, CSV o XLSX, que otra herramienta deberá procesar luego de la traducción.
• Si emplea Jira Cloud o Jira Server, cerciorar de que las consultas de traducción sobre la redacción de un hallazgo se registren junto con el trabajo de remediación.
• Tener capacidad de ingeniería para llamar a la API de Archivos o gestionar un webhook, en lugar de necesitar un conector llave en mano a un escáner de vulnerabilidades.
• Traduzca repetidamente el mismo formato de reporte, de modo que un glosario de identificadores protegidos y un conjunto de directivas reutilizables resulten rentables en todos los proyectos.

Cuándo este puede no ser el enfoque correcto

• El documento final debe permanecer como un PDF firmado de principio a fin. La conversión a Word no conserva las firmas digitales, las tachaduras ni los campos de formulario, por lo que un reporte cuya validez dependa de su firma debe traducir antes de firmarlo, no después.
• El único artefacto es un escaneo. La extracción de OCR descarta el diseño y devuelve el contenido como un serial de párrafos, lo que es un mal punto de partida para un documento cuyo significado depende de la separación entre código y prosa. Recuperar el original digital es una mejor inversión que limpiar la extracción.
• El trabajo es un reporte corto, una vez. Una sola evaluación traducida una sola vez puede ser más barata de gestionar con un ingeniero de seguridad bilingüe autorizado que encaminarla a través de la incorporación de plataformas, la compilación de un glosario y un paso de Editoring.
• Necesitas un conector nativo para el escáner. El catálogo de integraciones de Smartling se basa en sistemas de contenido como plataformas CMS, repositorios de código, herramientas de diseño y servicios de asistencia técnica, por lo que el vínculo entre un escáner de vulnerabilidades y la plataforma de traducción es una integración de API y webhook que su equipo crea y mantiene.
• Los resultados están sujetos a un embargo que prohíbe su procesamiento por terceros. Si los términos de un acuerdo impiden que los resultados lleguen a cualquier procesador externo antes de que finalice la subsanación, la cuestión del formato es prematura y la cuestión contractual tiene prioridad.

Lista de verificación de evaluación: preguntas que debe hacer sobre los resultados del reporte de pruebas de penetración y las integraciones.

¿Qué formato de archivo se le proporcionará y admite directivas?
Resolver esto antes que nada. Microsoft Word ofrece compatibilidad con API y directivas de estilos, mientras que PDF no, por lo que el formato que reciba de su compañía de pruebas determina tácitamente cuánto control tendrá sobre el resto del trabajo.

¿Qué aparece cuando subes un PDF?
Pregunta al proveedor explícitamente si el entregable se devuelve en su formato original. Smartling devuelve un DOCX por cada PDF subido, lo que implica un paso de reexportación, y los archivos protegidos con contraseña se rechazan al subirlos en lugar de fallar silenciosamente después.

¿Cómo sobreviven fragmentos de código, identificadores CVE y salida de comandos a la traducción automática?
Busca dos mecanismos, no uno: No traducir términos del glosario que protejan una cadena independientemente del tipo de archivo, y una comprobación de consistencia de marcador o etiqueta que marque una traducción que dejó o alterado una. Un glosario por sí solo deja el marcado en línea sin protección.

¿Se pueden exportar datos de vulnerabilidades localizadas a los formatos que insigren otras herramientas?
JSON, XML, CSV, XLSX, YAML y XLIFF analizan de forma nativa, lo que cubre las serializaciones que usan la mayoría de las exportaciones de escáner, pero cada una tiene un límite de 10 MB. Prueba el condensador frente a una exportación real de tus propias herramientas en lugar de una muestra recortada.

¿Qué ocurre con las capturas de pantalla y el texto incrustado en las imágenes?
Ningún tipo de archivo compatible extrae texto del interior de una imagen, por lo que debe decidir con precisión, para cada captura de pantalla, si se localiza en una pista separada o se deja como evidencia capturada con un pie de foto traducido. En el caso de las imágenes que sirven como prueba de explotación, dejar el original intacto suele ser la opción más justificable.

¿La plataforma se integra con su sistema de seguimiento de errores y, en caso afirmativo, en qué sentido?
La integración de Smartling con Jira para la gestión de incidencias se conecta tanto a Jira Server como a Jira Cloud, abre automáticamente un tiquete de Jira cuando se genera un problema en Smartling y marca que el problema de Smartling se resuelve cuando el tiquete de Jira pasa a Hecho. Fíjate en la dirección y el alcance: un problema que se abrió primero en Jira no se refleja, y la integración implica consultas de traducción en lugar de los hallazgos de seguridad en sí.

¿Cómo se incorporan los hallazgos locales a su sistema de gestión de incidencias?
Crear un tiquete localizado por cada hallazgo es un trabajo de API en lugar de un switch. Pregunta si el proveedor expone un endpoint de archivo traducido y descarga y eventos de webhook para completar traducciones, que son las dos piezas que un script necesita para crear tiquetes automáticamente.

¿Quién realiza la reexportación y cómo se valora?
La autoedición es un paso de flujo de trabajo distinto realizado fuera de la plataforma de traducción en la aplicación nativa, así que confirma si tu proveedor, tu equipo o una agencia la poseen y cómo se pretiza. El modelo de costos se refleja en lo que son los servicios de autoedición multilingüe.

¿Qué pruebas de seguridad deberías exigir al propio proveedor de traducción?
La cadena de herramientas que transporta tus hallazgos ahora forma parte de tu superficie de ataque. Los artefactos a aplicar se enumeran en qué pruebas de penetración aplicar a un proveedor de traducción.

¿Cómo gestiona Smartling los formatos de reportes de pruebas de penetración y la integración de la cadena de herramientas?

Smartling gestiona los resultados de las pruebas de penetración según el archivo que se le proporciona, y el comportamiento documentado de la plataforma es lo suficientemente específico como para poder planear en consecuencia. Los archivos PDF de hasta 100 MB se convierten automáticamente a Microsoft Word para su traducción y se devuelven como DOCX; los PDF protegidos con contraseña se rechazan al cargarlos; los archivos escaneados se procesan con OCR sin conservar el formato; y las directivas no son compatibles con los archivos PDF. Documento de Microsoft Word, .docx, y .docm Los archivos de hasta 50 MB admiten directivas tanto de API como de Estilos, por lo que aplicar el original de Word a una compañía de pruebas cambia las posibilidades posteriores. Se puede descargar un archivo pseudotraducido antes de la autorización para previsualizar hasta dónde se expandirá una tabla de resultados en alemán o francés, y el PDF original se puede anexar como contexto visual y como archivo adjunto del trabajo para que los lingüistas puedan ver el documento original mientras trabajan.

Para las partes de un reporte que no deben modificar, Smartling divide la protección en dos capas. Los términos del glosario No Traduzca marca una cadena como intraducible en toda la cuenta, de modo que un identificador CVE, un nombre de host interno o un nombre de comando permanezcan intactos tanto si aparecen en un apéndice de Word como en una exportación JSON, con la opción de sobreescribir DNT para un idioma específico donde un término realmente necesita traducir. Dentro de la herramienta CAT, los traductores trabajan con etiquetas y marcadores de posición como objetos discretos que pueden reposicionar pero no eliminar silenciosamente, y la comprobación de calidad de Consistencia Placeholder marca una cadena traducida que perdió uno. Juntas, estas son las que impiden que una cadena de carga útil sea reescrita de forma útil por un motor de traducción automática.

En lo que respecta a la entrega, la autoedición existe como un tipo de paso formal del flujo de trabajo en lugar de una simple revisión informal, y la cotización admite estimaciones de DTP para trabajos DOCX, PDF, IDML, INDD y PPTX, de modo que el trabajo de reexportación se puede definir y presupuestar en lugar de descubrirlo por sí mismo. Para la salida estructurada, los formatos JSON, XML, CSV, XLSX, YAML y XLIFF se analizan de forma nativa con un tamaño de 10 MB cada uno, lo que cubre las serializaciones que suelen generar las herramientas de seguridad.

La integración con trackers merece ser mencionada con precisión, porque su alcance es más limitado de lo que sugiere el nombre de la categoría. La integración de Smartling con Jira para la gestión de incidencias sincroniza Smartling Issues, la función de comunicación de la plataforma para preguntas y comentarios sobre cadenas de enlace, en Atlassian Jira. Soporta Jira Server (local) y Jira Cloud, abre un tiquete de Jira automáticamente cuando se crea un problema en Smartling, registra un comentario de Jira como comentario Smartling y marca el problema de Smartling resuelto cuando el tiquete pasa a Hecho. Es un producto de pago, se pueden configurar múltiples perfiles por conexión a Jira, y los problemas de diferentes proyectos Smartling pueden mapearse a los mismos o a diferentes proyectos de Jira. Lo que no hace es crear tiquetes para las propias vulnerabilidades, y un problema que se abre primero en Jira no se refleja en Smartling. Enviar hallazgos localizados a un tracker se basa en la API Smartling: el endpoint de descarga de archivos traducidos de la API recupera el archivo completado, y los webhooks o callbacks señalan cuando un evento de traducción terminó para que un script pueda actuar sobre él sin necesidad de sondeos. Esa distinción importa durante la evaluación, porque un proveedor que afirma la integración con un rastreador de errores puede estar describiendo cualquiera de las dos capacidades.

Preguntas relacionadas

• ¿Qué pruebas de pruebas de penetración deberías aplicar a un proveedor de traducción antes de localizar los reportes de seguridad?
• ¿Cómo se traduce un PDF entre idiomas como francés, español, chino y japonés?
• ¿Qué son los servicios de autoedición multilingüe (DTP)?
• ¿Cómo funciona el flujo de trabajo de traducción de texto a partir de imágenes, desde la extracción del texto hasta la obtención de la imagen traducida?