Un hallazgo solo es tan sólido como la evidencia que lo respalda. Seguridad identifica el tipo de evidencia detrás de cada hallazgo, y solo la evidencia con un registro de verificación confiable puede hacer que un hallazgo bloquee un pull request, notifique a alguien o se considere confirmado.
Los tres tipos
| Evidencia | Medios | Verificado por |
|---|---|---|
| Coincidencia con aviso | Un escaneo completo comparó la versión del paquete instalado con el rango afectado de un aviso publicado. | El propio escaneo: el escáner y su versión, la configuración que le proporcionó Coroid, y el aviso junto con la fecha de su última modificación. |
| Hallazgo estático validado | El código coincide con un patrón vulnerable. | Una regla que superó la calibración o, en el caso de un problema detectado por un modelo de AI, una comprobación independiente que rederiva el problema a partir del código en esa confirmación. La comprobación es una ejecución separada, no la que lo detectó. |
| Fallo reproducido | Se ejecutó y observó un fallo de seguridad. | Dos ejecuciones de la misma prueba, cada una en su propio entorno aislado sobre el proyecto construido a partir de esa confirmación, que ambas detectaron el fallo. La segunda ejecución no es la primera: son ejecuciones, entornos y compilaciones distintas. |
Un registro de verificación pertenece a una única confirmación. No se transfiere a la siguiente; el próximo escaneo lo observará nuevamente.
Qué puede hacer cada tipo
- Hallazgos de dependencias Se aplican en coincidencias con avisos.
- Reglas de secretos y código Se aplican solo si la versión del detector superó la calibración. Consulte Protecciones y aplicación.
- Las afirmaciones de seguridad de Coroid Review y los hallazgos de la auditoría Bloquean o notifican solo cuando una comprobación independiente los confirma como hallazgos estáticos validados, o cuando dos ejecuciones de la prueba los reproducen. Consulte Auditoría de seguridad.
Aún no confirmado
Un hallazgo sin dicha evidencia se enumera como Aún no confirmado. Aparece en Seguridad, con lo que se sabe, y no realiza ninguna otra acción: no hace que falle una comprobación, no notifica a nadie ni cuenta en Resumen como confirmado. Aquí es donde permanece la afirmación del modelo de AI cuando la comprobación independiente no pudo confirmarla, por ejemplo porque el código que determina el problema está en otro archivo.
Una alerta importada desde GitHub que los propios escaneos de Coroid no han confirmado se muestra como Importado desde GitHub, aún no confirmado, y se cuenta por separado en Resumen. Notifica y bloquea solo cuando el propio escaneo de Coroid lo confirme. Consulte Permisos de GitHub y la comprobación de seguridad de Coroid.
Dónde verlo
La página de un hallazgo muestra su evidencia, qué fuente la produjo y qué la verificó. Las solicitudes de extracción de corrección también incluyen su evidencia: para una dependencia, los avisos que corrige y el inventario de paquetes antes y después del cambio. Consulte Solicitudes de extracción de corrección.