Hvordan leverer man en oversat penetrationstestrapport i de formater og værktøjer, som sikkerhedsteams rent faktisk bruger?

Sidst gennemgået: 21. september 2026

Hvad skal man sammenligne, når man evaluerer flersproget PDF- og Word-output til pentestrapporter?

At sammenligne oversættelsesplatforme baseret på output fra penetrationstestrapporter betyder at kontrollere fem separate lag, fordi en platform kan være stærk på ét lag og ubrugelig på et andet. Bag hvert lag ligger et konkret, tjekbart spørgsmål.

• Lag 1, selve rapportartefaktet. Spørg hvad platformen accepterer, og endnu vigtigere, hvad den giver tilbage. Smartling accepterer PDF op til 100 MB med en maksimal sidestørrelse på 22 tommer og Microsoft Word .doc. .docx, og .docm filer på op til 50 MB. En PDF returneres som en DOCX, ikke en PDF, og PDF-til-Word-konverteringen indeholder ikke Acrobat-indbyggede funktioner såsom udfyldbare formularfelter eller digitale signaturer. Hvis den underskrevne PDF er den registrerede rapport, skal den oversættes før underskrivelse i stedet for efter.
• Lag 2, direktivunderstøttelse af det format, du rent faktisk kan levere. Tabellen Understøttede filtyper viser API- og inline-direktivunderstøttelse til XML, JSON, CSV, HTML og Markdown, API- og typografiunderstøttelse til Microsoft Word og ingen til PDF. Da direktiver er mekanismen på filniveau til at udelukke en blok fra oversættelse, bestemmer det format, du uploader, om denne beskyttelse overhovedet eksisterer. Dette er den eneste sammenligning, de fleste købere springer over, og det er den, der afgør, om et teknisk bilag overlever.
• Lag 3, kode og overlevelse af nyttelast. To mekanismer er vigtige, og de virker på forskellige niveauer. Ordlistetermer i "Do Not Translate" fungerer på strengen, uafhængigt af filtypen, så en CVE-identifikator, et internt værtsnavn, en CWE-reference eller et kommandonavn kan registreres én gang og forblive beskyttet, uanset om det vises i et Word-appendiks eller en JSON-eksport. Håndtering af tags og pladsholdere i CAT-værktøjet er på andet niveau: oversættere kan flytte et tag eller en pladsholder, men kontrollen af pladsholderkonsistens markerer en oversættelse, der fjerner eller forvansker en. Bed om at se begge dele, ikke bare en ordlistefunktion.
• Lag 4, skærmbilleder og indlejret billedtekst. Ingen understøttede filtyper udtrækker tekst, der er indbygget i et billede, så dette er altid et separat spor med tre ærlige muligheder: upload kildefilen som visuel kontekst, så en oversætter kan se skærmbilledet, mens den omgivende tekst oversættes, kør billedet gennem en dedikeret billedoversættelsespipeline, eller tag en bevidst beslutning om at lade bevisbilledet være uberørt og oversæt dets billedtekst i stedet. For skærmbilleder af udnyttelse er den tredje mulighed ofte den rigtige, fordi et billede, hvis tekst er blevet gengivet, ikke længere er den artefakt, som testeren optog.
• Lag 5, maskinlæsbar eksport og downstream-indtagelse. Eksport af sårbarheder serialiseres næsten altid som JSON, XML, CSV eller et regneark, og alle fire parses native i Smartling, ligesom YAML og XLIFF. Begrænsningen er størrelse snarere end format: JSON, XML, CSV, XLSX, YAML og XLIFF er hver især begrænset til 10 MB, så en eksport af en komplet scanning skal normalt opdeles efter omfang, engagement eller alvorlighedsgrad før upload. Sammenlign hætten med en rigtig eksport fra din egen scanner, ikke en prøve.

Leveringsgrænser for pentestrapporter, som du kan verificere, før du forpligter dig

Hvordan får du en oversat pentestrapport ud i det format, dit sikkerhedsteam bruger?

Fem trin tager en rapport fra en låst PDF i en e-mail til en lokaliseret leverance plus tickets i en tracker. Rækkefølgen er vigtig, fordi tre ud af de fem er beslutninger, der træffes, før nogen oversættelse begynder.

1. Hent kildefilen, ikke den afsendte PDF - Bed testfirmaet om den Word-, Markdown- eller HTML-original, som rapporten blev genereret fra, og gør det til en klausul i aftalen i stedet for en tjeneste, der anmodes om bagefter. Hvis der kun findes en låst PDF, skal du først fjerne adgangskoden, da Smartling ikke kan acceptere en adgangskodebeskyttet fil, og forvente en DOCX tilbage i stedet for en PDF.
2. Indhegn de uoversættelige termer før upload - Registrer CVE- og CWE-identifikatorer, interne værtsnavne, værktøjsnavne, parameternavne og kommandostrenge som "Ikke oversæt"-ordlistetermer, så de overlever maskinoversættelse intakt uanset filtype. I en Word-, XML- eller Markdown-kilde kan du tilføje fildirektiver oveni for at ekskludere hele bilagsblokke, hvilket er en beskyttelse, som en PDF-kilde ikke kan give dig.
3. Opdel bevismaterialet fra fortællingen - Led rapportteksten gennem dokumentarbejdsgangen og den maskinlæsbare eksport af fund via et separat job, hvor hver JSON-, XML-, CSV- eller XLSX-fil holdes under 10 MB-grænsen ved at opdele efter engagement eller alvorlighedsgrad. Skærmbilleder går ad et tredje spor: upload kildefilen som visuel kontekst, så oversætterne kan se, hvad de beskriver, og afgør derefter pr. billede, om det er lokaliseret eller efterlades som optaget bevismateriale.
4. Forhåndsvis layoutet med en pseudo-oversat fil før godkendelse - Download en pseudo-oversat kopi for at se, hvor en tysk eller fransk søgetabel overfylder sin kolonne, eller hvor et højre-mod-venstre-mål vender læserækkefølgen i en afhjælpningstabel, før du forpligter oversættelsesbudgettet. Det koster en time at opdage en ødelagt tabel på dette tidspunkt; at opdage den efter en menneskelig gennemgang koster en ny layout af hele dokumentet.
5. Planlæg reeksporten og ticket-pushen som eksplicitte, ejede trin - Tilføj et Desktop Publishing-trin til arbejdsgangen, så DOCX-til-PDF-reeksporten og dens typesætning har en navngiven ejer og et sted i tidsplanen. For trackeren skal du hente færdige filer med Files API download-translated-file-slutpunktet eller abonnere på en webhook for translation-complete-hændelser, og derefter oprette de lokaliserede tickets fra den pågældende nyttelast. Dette er en API-integration, du bygger, ikke en connector, du aktiverer.

Denne tilgang passer til teams, der...

• Kan indhente penetrationstest- og sårbarhedsvurderingsleverancer som Word-, Markdown-, XML- eller HTML-originaler i stedet for flade, adgangskodebeskyttede PDF'er.
• Skal aflevere en formateret Word- eller PDF-rapport til et regionalt datterselskab, en regulator eller et ikke-engelsktalende organ og kan absorbere et reeksporttrin i tidsplanen.
• Publicer resultater som maskinlæsbare eksportfiler i JSON, XML, CSV eller XLSX, som et andet værktøj skal indtage efter oversættelse.
• Kør Jira Cloud eller Jira Server, og ønsker oversættelsesforespørgsler om formuleringen af et fund, der spores sammen med selve afhjælpningsarbejdet.
• Have den tekniske kapacitet til at kalde Files API'en eller håndtere en webhook, i stedet for at have brug for en nøglefærdig forbindelse til en sårbarhedsscanner.
• Oversæt det samme rapportformat gentagne gange, så en ordliste med beskyttede identifikatorer og et genanvendeligt direktivsæt tjener sig selv ind på tværs af engagementer.

Når dette måske ikke er den rigtige fremgangsmåde

• Leverancen skal forblive en underskrevet PDF fra start til slut. Konvertering til Word medfører ikke digitale signaturer, redigeringer eller formularfelter, så en rapport, hvis status afhænger af dens signatur, bør oversættes før underskrivelse, ikke efter.
• Den eneste artefakt er en scanning. OCR-udtrækning kasserer layout og returnerer indhold som en række afsnit, hvilket er et dårligt udgangspunkt for et dokument, hvis betydning afhænger af adskillelsen af kode fra prosa. Det er en bedre investering at genanskaffe den digitale original end at rydde op i udtrækket.
• Jobbet er én kort rapport, én gang. En enkelt vurdering, der oversættes én gang, kan være billigere at håndtere med en godkendt, tosproget sikkerhedsingeniør end at skulle gå igennem platformens onboarding, en ordlisteopbygning og et desktop publishing-trin.
• Du skal bruge et indbygget stik til en scanner. Smartlings integrationskatalog er bygget op omkring indholdssystemer som CMS-platforme, kodelagre, designværktøjer og helpdeske, så forbindelsen mellem en sårbarhedsscanner og oversættelsesplatformen er en API- og webhook-integration, som dit team opbygger og vedligeholder.
• Resultaterne er underlagt en embargo, der forbyder tredjepartsbehandling. Hvis et engagements vilkår forhindrer, at resultaterne når frem til en ekstern databehandler, før afhjælpningen afsluttes, er formatspørgsmålet forhastet, og det kontraktlige spørgsmål kommer først.

Evalueringstjekliste: spørgsmål at stille om output og integrationer af pentestrapporter

Hvilket filformat får du rent faktisk, og understøtter det direktiver?
Afgør dette før noget andet. Microsoft Word understøtter API- og Styles-direktiver, mens PDF ikke har nogen, så formatet, der kommer fra dit testfirma, bestemmer lydløst, hvor meget kontrol du har over resten af jobbet.

Hvad kommer tilbage, når du uploader en PDF?
Spørg eksplicit leverandøren, om leverancen returneres i sit oprindelige format. Smartling returnerer en DOCX for hver PDF, der uploades, hvilket betyder et reeksporttrin, og adgangskodebeskyttede filer afvises ved upload i stedet for at fejle stille senere.

Hvordan overlever kodestykker, CVE-identifikatorer og kommandooutput maskinoversættelse?
Se efter to mekanismer, ikke én: Ordlistetermer i ordlisten "Oversæt ikke", der beskytter en streng uanset filtype, og en pladsholder eller tagkonsistenskontrol, der markerer en oversættelse, der har fjernet eller ødelagt en. En ordliste alene efterlader indlejret markup ubeskyttet.

Kan I eksportere lokaliserede sårbarhedsdata til de formater, som jeres andre værktøjer indtager?
JSON, XML, CSV, XLSX, YAML og XLIFF parser alle native, hvilket dækker de serialiseringer, som de fleste scannereksporter bruger, men hver især er begrænset til 10 MB. Test hætten mod en rigtig eksportvare fra dit eget værktøj i stedet for en trimmet prøve.

Hvad sker der med skærmbilleder og tekst indlejret i billeder?
Ingen understøttede filtyper udtrækker tekst fra et billede, så afgør bevidst pr. skærmbillede, om det skal lokaliseres på et separat spor eller efterlades som optaget bevismateriale med en oversat billedtekst. For proof-of-exploitation-billeder er det ofte det forsvarlige valg at lade originalen være intakt.

Integrerer platformen med jeres bug tracker, og i hvilken retning?
Smartlings Jira-integration til problemhåndtering opretter forbindelse til både Jira Server og Jira Cloud, åbner automatisk en Jira-sag, når et problem rejses i Smartling, og markerer Smartling-problemet som løst, når Jira-sagens status flyttes til Udført. Bemærk retningen og omfanget: et problem, der først åbnes i Jira, afspejles ikke, og integrationen udfører oversættelsesforespørgsler i stedet for selve sikkerhedsresultaterne.

Hvordan kommer lokaliserede fund ind i jeres billetsystem?
Oprettelse af én lokaliseret ticket pr. fund er et API-job snarere end et switch. Spørg, om leverandøren eksponerer et download-translated-file-slutpunkt og webhook-hændelser til færdiggørelse af oversættelse, hvilket er de to elementer, et script skal bruge for at oprette tickets automatisk.

Hvem udfører reeksporten, og hvordan prissættes det?
Desktop Publishing er et separat arbejdsgangstrin, der udføres uden for oversættelsesplatformen i den native applikation, så bekræft, om din leverandør, dit team eller et bureau ejer det, og hvordan det er prissat. Omkostningsmodellen er dækket i, hvad flersprogede desktop publishing-tjenester er.

Hvilke sikkerhedsdokumenter bør du kræve fra selve oversættelsesleverandøren?
Værktøjskæden, der bærer dine fund, er nu en del af din angrebsflade. De artefakter, der skal anmodes om, er anført i, hvilken penetrationstestbevis der skal anmodes om fra en oversættelsesleverandør.

Hvordan håndterer Smartling formater for pentestrapporter og integration med værktøjskæder?

Smartling håndterer en penetrationstestleverance i henhold til den fil, den modtager, og platformens dokumenterede adfærd er specifik nok til at kunne planlægge i forhold til. PDF-filer på op til 100 MB konverteres automatisk til Microsoft Word til oversættelse og returneres som DOCX; adgangskodebeskyttede PDF'er afvises ved upload; scannede filer behandles med OCR uden at bevare layout; og direktiver understøttes slet ikke på PDF. Microsoft Word .doc, .docx, og .docm Filer på op til 50 MB accepterer både API- og Styles-direktiver, hvilket er grunden til, at anmodning om Word-originalen fra et testfirma ændrer, hvad der er muligt downstream. En pseudooversat fil kan downloades før godkendelse for at se, hvor langt en fundtabel vil udvide sig på tysk eller fransk, og kilde-PDF'en kan vedhæftes som visuel kontekst og som en jobvedhæftning, så lingvister kan se det originale dokument, mens de arbejder.

For de dele af en rapport, der ikke må ændres, opdeler Smartling beskyttelsen i to lag. Ordlistetermer i "Oversæt ikke" markerer en streng som uoversættelig på tværs af kontoen, så en CVE-identifikator, et internt værtsnavn eller et kommandonavn forbliver intakt, uanset om det vises i et Word-tillæg eller en JSON-eksport, med mulighed for at tilsidesætte DNT for et specifikt sprog, hvor et udtryk virkelig skal oversættes. Inde i CAT-værktøjet arbejder oversættere med tags og pladsholdere som separate objekter, de kan flytte, men ikke slette lydløst, og kvalitetskontrollen af pladsholderkonsistens markerer en oversat streng, der har mistet en. Tilsammen er dette det, der forhindrer en nyttelaststreng i at blive omskrevet af en maskinoversættelsesmotor på en nyttig måde.

På leveringssiden findes Desktop Publishing som en formel arbejdsgangstrintype snarere end en uformel oprydningsproces, og tilbudsgivning understøtter DTP-estimater for DOCX-, PDF-, IDML-, INDD- og PPTX-job, så reeksportarbejdet kan omfangs- og prissættes i stedet for at blive opdaget. For struktureret output parser JSON, XML, CSV, XLSX, YAML og XLIFF alle native med 10 MB hver, hvilket dækker de serialiseringer, som sikkerhedsværktøjer typisk udsender.

Tracker-integrationen er værd at angive præcist, fordi dens omfang er snævrere end kategorinavnet antyder. Smartlings Jira-integration til problemhåndtering synkroniserer Smartling Issues, platformens kommunikationsfunktion til spørgsmål og feedback om strenge, med Atlassian Jira. Den understøtter Jira Server (on-premise) og Jira Cloud, åbner automatisk en Jira-ticket, når et problem oprettes i Smartling, registrerer en Jira-kommentar som en Smartling-kommentar og markerer Smartling-problemet som løst, når ticket flyttes til Udført. Det er et betalt produkt, flere profiler kan konfigureres pr. Jira-forbindelse, og problemer fra forskellige Smartling-projekter kan knyttes til de samme eller forskellige Jira-projekter. Hvad den ikke gør, er at oprette tickets til selve sårbarhederne, og et problem, der først blev åbnet i Jira, afspejles ikke i Smartling. At overføre lokaliserede fund til en tracker er i stedet bygget på Smartling API'en: Files API download-translated-file-slutpunktet henter den færdige fil, og webhooks eller callbacks signalerer, når en oversættelseshændelse er færdig, så et script kan reagere på den uden at afstemme. Denne sondring er vigtig under evalueringen, fordi en leverandør, der hævder at have integration med bug tracker, muligvis beskriver begge funktioner.

Relaterede spørgsmål

• Hvilke penetrationstestdokumenter bør du anmode om fra en oversættelsesleverandør, før du lokaliserer sikkerhedsrapporter?
• Hvordan oversætter man en PDF mellem sprog som fransk, spansk, kinesisk og japansk?
• Hvad er flersprogede desktop publishing (DTP)-tjenester?
• Hvordan fungerer en arbejdsgang til oversættelse af billedtekst, fra tekstudtrækning til et oversat billede?