Como entregar um relatório de teste de penetração traduzido nos formatos e ferramentas que as equipes de segurança realmente utilizam?

Última revisão: 21 de setembro de 2026

O que você deve comparar ao avaliar a saída multilíngue em PDF e Word para relatórios de testes de penetração?

Comparar plataformas de tradução com base em relatórios de testes de penetração significa verificar cinco camadas distintas, pois uma plataforma pode ser eficiente em uma delas e inutilizável em outra. Cada camada possui uma questão concreta e verificável por trás dela.

• Camada 1, o próprio artefato do relatório. Pergunte o que a plataforma aceita e, mais importante, o que ela devolve. O Smartling aceita arquivos PDF de até 100 MB com dimensão máxima de página de 22 polegadas, e arquivos Microsoft Word .doc. .docx, e .docm Arquivos de até 50 MB. Um PDF é retornado como um DOCX, não como um PDF, e a conversão de PDF para Word não inclui recursos nativos do Acrobat, como campos de formulário preenchíveis ou assinaturas digitais. Se o PDF assinado for o relatório oficial, traduza-o antes de assinar, e não depois.
• Camada 2, suporte a diretivas no formato que você pode efetivamente fornecer. A tabela Tipos de Arquivos Suportados lista o suporte da API e de diretivas embutidas para XML, JSON, CSV, HTML e Markdown, o suporte da API e de estilos para o Microsoft Word e nenhum para PDF. Como as diretivas são o mecanismo em nível de arquivo para excluir um bloco da tradução, o formato que você carrega determina se essa proteção existe ou não. Essa é a única comparação que a maioria dos compradores ignora, e é ela que decide se um apêndice técnico sobreviverá.
• Camada 3: sobrevivência do código e da carga útil. Dois mecanismos são importantes e atuam em níveis diferentes. A opção "Não traduzir" permite que os termos do glossário atuem na string, independentemente do tipo de arquivo. Assim, um identificador CVE, um nome de host interno, uma referência CWE ou um nome de comando podem ser registrados uma única vez e permanecer protegidos, seja em um anexo do Word ou em uma exportação JSON. O tratamento de etiquetas e marcadores na ferramenta CAT é o segundo nível: os tradutores podem mover uma etiqueta ou um marcador, mas a verificação de consistência de marcadores sinaliza uma tradução que omite ou altera um deles. Peça para ver ambos, não apenas o glossário.
• Camada 4, capturas de tela e texto de imagem incorporado. Nenhum tipo de arquivo compatível extrai texto incorporado em uma imagem, portanto, este é sempre um processo separado com três opções viáveis: enviar o arquivo de origem como contexto visual para que o tradutor possa ver a captura de tela enquanto traduz o texto ao redor, executar a imagem em um fluxo de trabalho de tradução de imagens dedicado ou optar por deixar a imagem original intacta e traduzir apenas a legenda. Para capturas de tela de prova de exploração, a terceira opção costuma ser a correta, pois uma imagem cujo texto foi renderizado novamente não é mais o artefato capturado pelo testador.
• Camada 5, exportação legível por máquina e ingestão subsequente. As exportações de vulnerabilidades são quase sempre serializadas como JSON, XML, CSV ou planilha, e todos os quatro formatos são analisados nativamente no Smartling, assim como YAML e XLIFF. A limitação está no tamanho, e não no formato: JSON, XML, CSV, XLSX, YAML e XLIFF têm um limite de 10 MB cada, portanto, uma exportação completa de uma varredura geralmente precisa ser dividida por escopo, nível de envolvimento ou gravidade antes do upload. Verifique a tampa comparando-a com uma exportação real do seu próprio scanner, não com uma amostra.

Limites de entrega de relatórios de testes de penetração que você pode verificar antes de se comprometer.

Como obter um relatório de teste de penetração traduzido no formato que sua equipe de segurança utiliza?

Cinco etapas transformam um relatório de um PDF bloqueado em um e-mail em um arquivo entregável localizado, além de tickets em um sistema de rastreamento. A ordem é importante, porque três das cinco decisões são tomadas antes do início de qualquer tradução.

1. Obtenha o arquivo fonte, não o PDF enviado - Solicite à empresa de testes o arquivo original em Word, Markdown ou HTML a partir do qual o relatório foi gerado e inclua isso como uma cláusula no contrato, em vez de um pedido feito posteriormente. Se existir apenas um PDF bloqueado, remova a senha primeiro, pois o Smartling não aceita arquivos protegidos por senha e espera receber um arquivo DOCX em vez de um PDF.
2. Proteja os termos não traduzíveis antes do upload - Registre identificadores CVE e CWE, nomes de host internos, nomes de ferramentas, nomes de parâmetros e strings de comando como termos do glossário "Não Traduzir" para que permaneçam intactos durante a tradução automática, independentemente do tipo de arquivo. Em um arquivo Word, XML ou Markdown, você pode adicionar diretivas de arquivo para excluir blocos inteiros de apêndices, uma proteção que um arquivo PDF não oferece.
3. Separe as evidências da narrativa : direcione o texto do relatório pelo fluxo de trabalho de documentos e a exportação das conclusões em formato legível por máquina por meio de uma tarefa separada, mantendo cada arquivo JSON, XML, CSV ou XLSX abaixo do limite de 10 MB, dividindo-os por nível de envolvimento ou gravidade. As capturas de tela seguem um terceiro caminho: o arquivo de origem é carregado como contexto visual para que os tradutores possam ver o que estão descrevendo e, em seguida, decide-se por imagem se ela será localizada ou mantida como evidência capturada.
4. Visualize o layout com um arquivo pseudotraduzido antes de autorizar - Baixe uma cópia pseudotraduzida para ver onde uma tabela de resultados em alemão ou francês ultrapassa os limites da coluna, ou onde um texto da direita para a esquerda inverte a ordem de leitura de uma tabela de correção, antes de comprometer o orçamento de tradução. Identificar uma tabela com problemas neste ponto custa uma hora; identificá-la após revisão humana custa uma reformulação completa do documento.
5. Planeje a reexportação e o envio do ticket como etapas explícitas e com responsabilidades definidas - Adicione uma etapa de Editoração Eletrônica ao fluxo de trabalho para que a reexportação de DOCX para PDF e sua formatação tenham um responsável nomeado e um horário reservado na programação. Para o rastreador, obtenha os arquivos finalizados com o endpoint download-translated-file da API Files ou inscreva-se em um webhook para eventos de conclusão de tradução e, em seguida, crie os tickets localizados a partir dessa carga útil; esta é uma integração de API que você cria, não um conector que você ativa.

Essa abordagem é adequada para equipes que...

• É possível obter os resultados dos testes de penetração e das avaliações de vulnerabilidade em formatos originais Word, Markdown, XML ou HTML, em vez de PDFs compactados e protegidos por senha.
• Deve entregar um relatório formatado em Word ou PDF a uma subsidiária regional, a um órgão regulador ou a um conselho que não fale inglês, e pode absorver uma etapa de reexportação no cronograma.
• Publique as descobertas como exportações legíveis por máquina em JSON, XML, CSV ou XLSX, que outra ferramenta terá que importar após a tradução.
• Utilize o Jira Cloud ou o Jira Server e deseje que as consultas de tradução sobre a redação de uma descoberta sejam rastreadas juntamente com o próprio trabalho de correção.
• Ter capacidade técnica para chamar a API de Arquivos ou lidar com um webhook, em vez de precisar de um conector pronto para uso com um scanner de vulnerabilidades.
• Traduzir repetidamente o mesmo formato de relatório torna um glossário de identificadores protegidos e um conjunto de diretivas reutilizáveis um investimento que se paga ao longo dos projetos.

Quando essa abordagem pode não ser a correta.

• O documento final deve permanecer como um PDF assinado do início ao fim. A conversão para Word não inclui assinaturas digitais, redações ou campos de formulário; portanto, um relatório cuja validade depende de sua assinatura deve ser traduzido antes da assinatura, e não depois.
• O único artefato é uma digitalização. A extração por OCR descarta o layout e retorna o conteúdo como uma série de parágrafos, o que é um ponto de partida inadequado para um documento cujo significado depende da separação entre código e prosa. Recuperar o arquivo digital original é um investimento melhor do que limpar a extração.
• O trabalho consiste em um breve relatório, a ser feito apenas uma vez. Uma única avaliação traduzida uma única vez pode ser mais barata de ser gerenciada por um engenheiro de segurança bilíngue com autorização de segurança do que passar por todo o processo de integração à plataforma, criação de um glossário e editoração eletrônica.
• Você precisa de um conector nativo para o scanner. O catálogo de integrações da Smartling é construído em torno de sistemas de conteúdo, como plataformas CMS, repositórios de código, ferramentas de design e centrais de atendimento. Assim, a ligação entre um scanner de vulnerabilidades e a plataforma de tradução é feita por meio de uma API e uma integração de webhook que sua equipe cria e mantém.
• Os resultados estão sob embargo, o que proíbe o processamento por terceiros. Se os termos de um contrato impedirem que as conclusões cheguem a qualquer processador externo antes do encerramento da remediação, a questão do formato é prematura e a questão contratual vem em primeiro lugar.

Lista de verificação para avaliação: perguntas a serem feitas sobre os resultados e integrações do relatório de teste de penetração.

Qual será o formato de arquivo fornecido e ele suporta diretivas?
Resolva isso antes de qualquer outra coisa. O Microsoft Word oferece suporte a APIs e diretivas de estilo, enquanto o PDF não oferece nenhum, portanto, o formato fornecido pela sua empresa de testes determina silenciosamente o nível de controle que você terá sobre o restante do trabalho.

O que você recebe ao enviar um PDF?
Pergunte explicitamente ao fornecedor se o produto final será devolvido no formato original. A Smartling retorna um arquivo DOCX para cada PDF enviado, o que significa uma etapa de reexportação, e arquivos protegidos por senha são rejeitados no momento do envio, em vez de apresentarem falhas silenciosas posteriormente.

Como trechos de código, identificadores CVE e saídas de comandos sobrevivem à tradução automática?
Procure por dois mecanismos, não apenas um: "Não traduzir" termos do glossário que protegem uma string independentemente do tipo de arquivo e uma verificação de consistência de marcador ou tag que sinaliza uma tradução que omitiu ou corrompeu um marcador. Um glossário por si só deixa a marcação embutida desprotegida.

É possível exportar dados de vulnerabilidades localizadas para os formatos que suas outras ferramentas utilizam?
Os formatos JSON, XML, CSV, XLSX, YAML e XLIFF são analisados nativamente, o que abrange as serializações usadas pela maioria das exportações de scanners, mas cada um tem um limite de 10 MB. Teste a tampa comparando-a com uma peça real exportada, produzida com suas próprias ferramentas, em vez de uma amostra recortada.

O que acontece com as capturas de tela e o texto incorporado em imagens?
Nenhum tipo de arquivo compatível extrai texto de dentro de uma imagem, portanto, decida cuidadosamente, para cada captura de tela, se o texto será localizado em uma faixa separada ou mantido como evidência capturada com uma legenda traduzida. Para imagens que servem como prova de exploração, manter o original intacto costuma ser a opção defensável.

A plataforma integra-se com o seu sistema de rastreamento de bugs? Se sim, em que direção?
A integração do Smartling com o Jira para gerenciamento de problemas conecta-se tanto ao Jira Server quanto ao Jira Cloud, abre um ticket no Jira automaticamente quando um problema é registrado no Smartling e marca o problema do Smartling como resolvido quando o ticket do Jira passa para o status "Concluído". Observe a direção e o escopo: um problema aberto primeiro no Jira não é refletido de volta, e a integração realiza consultas de tradução em vez das próprias descobertas de segurança.

Como os resultados localizados são integrados ao seu sistema de emissão de tickets?
Criar um ticket localizado para cada descoberta é uma tarefa da API, e não uma opção do tipo switch. Pergunte se o fornecedor disponibiliza um endpoint para download do arquivo traduzido e eventos webhook para a conclusão da tradução, que são os dois elementos necessários para que um script crie tickets automaticamente.

Quem realiza a reexportação e qual é o preço?
A editoração eletrônica é uma etapa distinta do fluxo de trabalho, realizada fora da plataforma de tradução, no aplicativo nativo. Portanto, confirme se é de responsabilidade do seu fornecedor, da sua equipe ou de uma agência, e como o serviço é cobrado. O modelo de custos é abordado em "O que são serviços de editoração eletrônica multilíngue".

Que provas de segurança você deve exigir do próprio fornecedor de tradução?
O conjunto de ferramentas que contém suas descobertas agora faz parte da sua superfície de ataque. Os artefatos a serem solicitados estão listados em "Quais evidências de teste de penetração solicitar de um fornecedor de tradução?".

Como a Smartling lida com os formatos de relatórios de testes de penetração e a integração da cadeia de ferramentas?

A Smartling processa os resultados dos testes de penetração de acordo com o arquivo fornecido, e o comportamento documentado da plataforma é específico o suficiente para permitir o planejamento. Arquivos PDF de até 100 MB são convertidos automaticamente para Microsoft Word para tradução e retornados como DOCX; PDFs protegidos por senha são rejeitados no upload; arquivos digitalizados são processados com OCR sem preservar o layout; e diretivas não são suportadas em PDF. Microsoft Word .doc, .docx, e .docm Arquivos de até 50 MB aceitam diretivas tanto de API quanto de Estilos, e é por isso que solicitar o arquivo original em Word de uma empresa de testes altera as possibilidades subsequentes. Um arquivo pseudotraduzido pode ser baixado antes da autorização para visualizar até que ponto uma tabela de resultados será expandida em alemão ou francês, e o PDF original pode ser anexado como contexto visual e como um anexo de trabalho para que os linguistas possam ver o documento original enquanto trabalham.

Para as partes de um relatório que não devem ser alteradas, a Smartling separa a proteção em duas camadas. A opção "Não traduzir" (DNT) marca uma string como não traduzível em toda a conta. Assim, um identificador CVE, um nome de host interno ou um nome de comando permanecem intactos, independentemente de aparecerem em um anexo do Word ou em uma exportação JSON, com a opção de ignorar o DNT para um idioma específico quando um termo realmente precisar ser traduzido. Dentro da ferramenta CAT, os tradutores trabalham com etiquetas e marcadores como objetos discretos que podem ser reposicionados, mas não excluídos silenciosamente, e a verificação de qualidade de Consistência de Marcadores sinaliza uma sequência traduzida que perdeu um marcador. Em conjunto, esses elementos impedem que uma sequência de dados seja reescrita de forma útil por um mecanismo de tradução automática.

No que diz respeito à entrega, a Editoração Eletrônica existe como um tipo de etapa formal de fluxo de trabalho, em vez de uma etapa informal de limpeza, e a elaboração de orçamentos suporta estimativas de DTP para trabalhos em DOCX, PDF, IDML, INDD e PPTX, de modo que o trabalho de reexportação pode ser definido e precificado, em vez de ser descoberto. Para saída estruturada, JSON, XML, CSV, XLSX, YAML e XLIFF são analisados nativamente com 10 MB cada, o que cobre as serializações que as ferramentas de segurança normalmente emitem.

Vale a pena destacar com precisão a integração do rastreador, pois seu escopo é mais restrito do que o nome da categoria sugere. A integração do Smartling com o Jira para gerenciamento de problemas sincroniza os problemas do Smartling, o recurso de comunicação da plataforma para perguntas e feedback sobre strings, com o Atlassian Jira. Ele é compatível com o Jira Server (local) e o Jira Cloud, abre um ticket do Jira automaticamente quando um problema é criado no Smartling, registra um comentário do Jira como um comentário do Smartling e marca o problema do Smartling como resolvido quando o ticket passa para o status "Concluído". É um produto pago, vários perfis podem ser configurados por conexão Jira e problemas de diferentes projetos Smartling podem ser mapeados para o mesmo projeto Jira ou para projetos diferentes. O que ele não faz é criar chamados para as vulnerabilidades em si, e um problema aberto primeiro no Jira não é refletido no Smartling. A integração de resultados localizados em um rastreador é feita com base na API Smartling: o endpoint download-translated-file da API Files recupera o arquivo traduzido, e webhooks ou callbacks sinalizam quando um evento de tradução é concluído, permitindo que um script execute ações sem precisar ficar consultando repetidamente. Essa distinção é importante durante a avaliação, porque um fornecedor que alega integração com um sistema de rastreamento de bugs pode estar descrevendo qualquer uma das duas funcionalidades.

Questões relacionadas

• Que evidências de testes de penetração você deve solicitar a um fornecedor de tradução antes de localizar relatórios de segurança?
• Como traduzir um PDF entre idiomas como francês, espanhol, chinês e japonês?
• O que são serviços de editoração eletrônica multilíngues (DTP)?
• Como funciona o fluxo de trabalho de tradução de texto a partir de uma imagem, desde a extração do texto até a imagem traduzida?