Hoe lever je een vertaald penetratietestrapport aan in de formaten en met de tools die beveiligingsteams daadwerkelijk gebruiken?

Laatst herzien: 21 september 2026

Wat moet je vergelijken bij het evalueren van meertalige PDF- en Word-uitvoer voor pentestrapporten?

Het vergelijken van vertaalplatformen op basis van de output van penetratietestrapporten betekent het controleren van vijf afzonderlijke lagen, omdat een platform op het ene vlak sterk kan zijn en op een ander vlak onbruikbaar. Achter elke laag schuilt een concrete, controleerbare vraag.

• Laag 1, het rapportartefact zelf. Vraag wat het platform accepteert en, nog belangrijker, wat het teruggeeft. Smartling accepteert PDF's tot 100 MB met een maximale pagina-dimensie van 22 inch, en Microsoft Word .doc, .docx, en .docm bestanden tot 50 MB. Een PDF wordt teruggegeven als een DOCX, niet als een PDF, en de PDF-naar-Word-conversie bevat geen Acrobat-native functies zoals invulbare formuliervelden of digitale handtekeningen. Als de ondertekende PDF het rapport van record is, vertaal dan vóór het ondertekenen in plaats van erna.
• Laag 2, richtlijnondersteuning voor het formaat dat je daadwerkelijk kunt leveren. De tabel Ondersteunde Bestandstypes vermeldt ondersteuning voor API en inline richtlijnen voor XML, JSON, CSV, HTML en Markdown, API en stijlondersteuning voor Microsoft Word, en geen ondersteuning voor PDF. Aangezien richtlijnen het mechanisme op bestandsniveau zijn om een blok uit te sluiten van vertaling, bepaalt het formaat dat je uploadt of die bescherming überhaupt bestaat. Dit is de enige vergelijking die de meeste kopers overslaan, en het is degene die bepaalt of een technische bijlage overleeft.
• Laag 3, code en payload survival. Twee mechanismen zijn belangrijk en werken op verschillende niveaus. Do Not Translate glossariumtermen werken op de string, onafhankelijk van het bestandstype, zodat een CVE-identificatie, een interne hostnaam, een CWE-referentie of een commandonaam één keer geregistreerd kan worden en beschermd blijft, of deze nu in een Word-bijlage of een JSON-export voorkomt. Tag- en placeholder-behandeling in de CAT-tool is het tweede niveau: vertalers kunnen een tag of placeholder verplaatsen, maar de Placeholder Consistency Check markeert een vertaling die er een laat vallen of verminkt. Vraag om beide te zien, niet alleen een woordenlijstfunctie.
• Laag 4, screenshots en ingesloten afbeeldingstekst. Geen enkel ondersteund bestandstype haalt tekst uit die in een afbeelding is ingebakken, dus dit is altijd een aparte aanpak met drie eerlijke opties: upload het bronbestand als visuele context zodat een vertaler de screenshot kan zien terwijl hij de omliggende proza vertaalt, laat de afbeelding door een speciale vertaalpijplijn lopen, of neem een bewuste keuze om de bewijsafbeelding onaangeroerd te laten en in plaats daarvan het bijschrift te vertalen. Voor proof-of-exploitation-screenshots is de derde optie vaak de juiste, omdat een afbeelding waarvan de tekst opnieuw is gerenderd niet langer het artefact is dat de tester heeft vastgelegd.
• Laag 5, machineleesbare export en downstream inname. Kwetsbaarheidsexporten worden bijna altijd geserialiseerd als JSON, XML, CSV of een spreadsheet, en alle vier worden native geparst in Smartling, net als YAML en XLIFF. De beperking is grootte in plaats van formaat: JSON, XML, CSV, XLSX, YAML en XLIFF hebben elk een limiet van 10 MB, dus een export van volledige scans moet meestal worden gesplitst op scope, engagement of severity band vóór upload. Controleer de dop met een echte export van je eigen scanner, niet van een monster.

U kunt de leveringslimieten voor penetratietestrapporten controleren voordat u een definitieve beslissing neemt.

Hoe krijg je een vertaald pentestrapport uit in het formaat dat jouw beveiligingsteam gebruikt gebruikt?

Vijf stappen: een rapport van een vergrendelde PDF in een e-mail naar een gelokaliseerde deliverable plus tickets in een tracker. De volgorde is van belang, omdat drie van de vijf beslissingen worden genomen voordat de vertaling begint.

1. Haal het bronbestand op, niet de verzonden PDF - Vraag het testbureau om het originele Word-, Markdown- of HTML-formulier waaruit het rapport is gemaakt, en maak er een clausule van in de opdracht in plaats van een gunst die achteraf wordt gevraagd. Als er alleen een vergrendelde PDF bestaat, verwijder dan eerst het wachtwoord, want Smartling kan geen wachtwoordbeveiligd bestand accepteren en verwacht een DOCX-terugvoer in plaats van een PDF.
2. Bescherm de onvertaalbare elementen vóór het uploaden - Registreer CVE- en CWE-identificaties, interne hostnamen, toolnamen, parameternamen en commandoreeksen als termen in de 'Niet vertalen'-woordenlijst, zodat ze de machinevertaling ongewijzigd doorstaan, ongeacht het bestandstype. In een Word-, XML- of Markdown-bronbestand kun je daar bovenop bestandsrichtlijnen toevoegen om hele bijlageblokken uit te sluiten, een beveiliging die een PDF-bronbestand niet biedt.
3. Scheid het bewijsmateriaal van het verhaal - Leid de tekst van het rapport door de documentworkflow en de export van de bevindingen naar een machineleesbaar formaat via een aparte taak. Zorg ervoor dat elk JSON-, XML-, CSV- of XLSX-bestand onder de limiet van 10 MB blijft door te splitsen op betrokkenheid of ernst. Screenshots volgen een derde spoor: upload het bronbestand als visuele context, zodat vertalers kunnen zien wat ze beschrijven, en besluit vervolgens per afbeelding of deze wordt gelokaliseerd of als vastgelegd bewijsmateriaal wordt behouden.
4. Bekijk de lay-out eerst met een pseudo-vertaald bestand voordat u de vertaling goedkeurt - Download een pseudo-vertaalde versie om te zien waar een Duitse of Franse zoektabel buiten de kolom valt, of waar een doeltekst van rechts naar links de leesvolgorde van een correctietabel omkeert, voordat u het vertaalbudget vastlegt. Het opsporen van een fout in een tabel kost op dit moment een uur; het opsporen ervan na handmatige controle vereist een volledige herindeling van het document.
5. Plan de her-export en de ticket-push als expliciete, eigendom stappen - Voeg een Desktop Publishing-stap toe aan de workflow zodat de DOCX-naar-PDF her-export en de setwerk een benoemde eigenaar en een plek in het schema hebben. Voor de tracker haal je voltooide bestanden op met het Files API download-vertaald-bestands-endpoint of abonneer je op een webhook voor translation-complete events, en maak dan de gelokaliseerde tickets aan van die payload; dit is een API-integratie die je bouwt, geen connector die je aanschakelt.

Deze aanpak past bij teams die...

• Kan penetratietests en kwetsbaarheidsbeoordelingsresultaten verkrijgen als Word-, Markdown-, XML- of HTML-originelen in plaats van afgevlakte, met wachtwoorden beveiligde PDF's.
• Moet een opgemaakt Word- of PDF-rapport overhandigen aan een regionale dochteronderneming, een toezichthouder of een niet-Engelssprekend bestuur, en kan een herexportstap in het schema opnemen.
• Publiceer de bevindingen als machinaal leesbare exportbestanden in JSON, XML, CSV of XLSX-formaat, die na vertaling door een andere tool verwerkt moeten worden.
• Run Jira Cloud of Jira Server en wil vertaalvragen over de bewoordingen van een bevinding samen met het herstelwerk zelf volgen.
• Heb de technische capaciteit om de Files API aan te roepen of een webhook te beheren, in plaats van een turnkey-connector naar een kwetsbaarheidsscanner nodig te hebben.
• Vertaal steeds hetzelfde rapportformaat, zodat een verklarende woordenlijst met beschermde identificatoren en een herbruikbare set richtlijnen zichzelf terugverdienen bij verschillende opdrachten.

Wanneer dit wellicht niet de juiste aanpak is

• Het eindproduct moet volledig ondertekend zijn als PDF-bestand. Bij het converteren naar Word worden digitale handtekeningen, bewerkingen of formuliervelden niet meegenomen. Daarom moet een rapport waarvan de rechtsgeldigheid afhangt van de handtekening, vóór ondertekening worden vertaald, niet erna.
• Het enige artefact is een scan. OCR-extractie laat de lay-out vallen en geeft de inhoud terug als een reeks alinea's, wat een slecht uitgangspunt is voor een document waarvan de betekenis afhangt van de scheiding tussen code en proza. Het terugvinden van het digitale origineel is een betere investering dan het opruimen van de extractie.
• De baan is één kort rapport, één keer zelf. Een enkele beoordeling die eenmalig vertaald wordt, kan goedkoper zijn om af te handelen met een bevoegde, tweetalige beveiligingsingenieur dan om het hele proces te doorlopen, inclusief platformonboarding, het opstellen van een woordenlijst en desktop publishing.
• Je hebt een native connector nodig voor een scanner. De integratiecatalogus van Smartling is gebouwd rond contentmanagementsystemen zoals CMS-platforms, code repositories, ontwerptools en helpdesks. De koppeling tussen een kwetsbaarheidsscanner en het vertaalplatform is daarom een API- en webhookintegratie die uw team bouwt en onderhoudt.
• De bevindingen vallen onder een embargo dat verwerking door derden verbiedt. Als de voorwaarden van een overeenkomst voorkomen dat bevindingen een externe partij bereiken voordat de herstelwerkzaamheden zijn afgerond, is de vraag over de opmaak voorbarig en komt de contractuele vraag op de eerste plaats.

Evaluatiechecklist: vragen om te stellen over de output van het penetratietestrapport en de integraties

Welk bestandsformaat krijg je eigenlijk en ondersteunt het directives?
Regel dit eerst, voordat je iets anders doet. Microsoft Word biedt API- en stijlrichtlijnondersteuning, terwijl PDF dat niet heeft. Het formaat dat u van uw testbureau ontvangt, bepaalt dus onbewust hoeveel controle u over de rest van het project hebt.

Wat krijg je terug als je een PDF uploadt?
Vraag de leverancier expliciet of het geleverde product in de oorspronkelijke vorm wordt geretourneerd. Smartling retourneert een DOCX-bestand voor elke geüploade PDF, wat een extra exportstap vereist. Bovendien worden met een wachtwoord beveiligde bestanden direct bij het uploaden geweigerd in plaats van dat de upload later stilzwijgend mislukt.

Hoe overleven codefragmenten, CVE-identificaties en commando-uitvoer de machinevertaling?
Let op twee mechanismen, niet één: Do Not Translate glossarytermen die een string beschermen ongeacht het bestandstype, en een tijdelijke correctie of tagconsistentiecontrole die een vertaling markeert die een string heeft laten vallen of verminken. Alleen een woordenlijst laat de inline markup onbewaakt.

Kun je gelokaliseerde kwetsbaarheidsdata exporteren naar de formaten die je andere tools invoeren?
JSON, XML, CSV, XLSX, YAML en XLIFF parsen allemaal native, wat de serialisaties dekt die de meeste scannerexports gebruiken, maar elk beperkt zich tot 10 MB. Test de condensator met een echte export van je eigen gereedschap in plaats van een getrimd monster.

Wat gebeurt er met screenshots en tekst die in afbeeldingen is ingebed?
Er bestaat geen ondersteund bestandstype dat tekst uit een afbeelding extraheert. Beslis daarom per schermafbeelding of de tekst op een apart spoor wordt geplaatst of als vastgelegd bewijsmateriaal met een vertaald onderschrift wordt behouden. Bij beelden die als bewijs van exploitatie dienen, is het vaak verstandig om het origineel intact te laten.

Kan het platform worden geïntegreerd met uw bugtracker, en in welke richting?
Smartling's Jira-integratie voor Issue Management maakt verbinding met zowel Jira Server als Jira Cloud, opent automatisch een Jira-ticket wanneer er een probleem wordt aangemeld in Smartling, en markeert het oplossende Smartling-probleem wanneer het Jira-ticket naar Klaar gaat. Let op de richting en de reikwijdte: een probleem dat als eerste in Jira werd geopend, wordt niet teruggespiegeld, en de integratie bevat vertaalvragen in plaats van de beveiligingsbevindingen zelf.

Hoe komen lokale bevindingen in je ticketingsysteem?
Het aanmaken van één gelokaliseerd ticket per vondst is een API-taak in plaats van een switch. Vraag of de leverancier een download-vertaald-bestandsendpoint en webhook-events beschikbaar stelt voor vertaalafronding, de twee onderdelen die een script nodig heeft om tickets automatisch aan te maken.

Wie voert de herexportatie uit en hoe wordt het geprijsd?
Desktop publishing is een aparte workflowstap die buiten het vertaalplatform in de eigen applicatie wordt uitgevoerd. Controleer daarom of uw leverancier, uw team of een bureau hiervoor verantwoordelijk is en hoe de prijs hiervoor wordt berekend. Het kostenmodel wordt beschreven in het gedeelte over meertalige desktop publishing-diensten.

Welk beveiligingsbewijs moet je van de vertaalleverancier zelf eisen?
De toolchain die je bevindingen draagt, maakt nu deel uit van je aanvalsoppervlak. De artefacten die je moet aanvragen staan vermeld in welk penetratietestbewijs je bij een vertaalleverancier moet aanvragen.

Hoe gaat Smartling om met pentestrapportformaten en integratie van de toolchain?

Smartling verwerkt een penetratietestlevering volgens het bestand dat het krijgt, en het gedocumenteerde gedrag van het platform is specifiek genoeg om tegen te plannen. PDF-bestanden tot 100 MB worden automatisch omgezet naar Microsoft Word voor vertaling en teruggestuurd als DOCX; wachtwoordbeveiligde PDF's worden bij upload afgewezen; gescande bestanden worden verwerkt met OCR zonder de lay-out te behouden; en richtlijnen worden helemaal niet ondersteund op PDF. Microsoft Word .doc, .docx, en .docm bestanden tot 50 MB accepteren zowel API- als Styles-richtlijnen, daarom verandert het opvragen van het originele Word-origineel bij een testbedrijf wat later mogelijk is. Een pseudo-vertaald bestand kan vóór autorisatie worden gedownload om te bekijken hoe ver een vindtabel in het Duits of Frans zal worden uitgebreid, en de bron-PDF kan worden toegevoegd als visuele context en als taakbijlage zodat taalkundigen het originele document kunnen zien tijdens het werk.

Voor de delen van een rapport die niet mogen veranderen, splitst Smartling de bescherming op in twee lagen. Do Not Translate-glossariumtermen markeren een string als onvertaalbaar binnen het account, zodat een CVE-identificatie, een interne hostnaam of een commandonaam intact blijft, of deze nu in een Word-bijlage of een JSON-export voorkomt, met de optie om DNT te overrulen voor een specifieke taal waar een term echt vertaald moet worden. Binnen de CAT-tool werken vertalers met tags en placeholders als discrete objecten die ze kunnen herpositioneren maar niet stilletjes kunnen verwijderen, en de kwaliteitscontrole van de Placeholder Consistency markeert een vertaalde string die er een kwijt is geraakt. Samen zijn dit wat voorkomt dat een payloadstring behulpzaam wordt herschreven door een machine vertaal-engine.

Wat de levering betreft, is Desktop Publishing een formele workflowstap in plaats van een informele opruimronde. Offertes ondersteunen DTP-schattingen voor DOCX-, PDF-, IDML-, INDD- en PPTX-taken, zodat de heruitvoerwerkzaamheden kunnen worden afgebakend en geprijsd in plaats van dat ze achteraf worden ontdekt. Voor gestructureerde uitvoer kunnen JSON, XML, CSV, XLSX, YAML en XLIFF allemaal rechtstreeks worden geparseerd met een grootte van 10 MB per bestand, wat overeenkomt met de serialisaties die beveiligingssoftware doorgaans genereert.

De tracker-integratie is het waard om precies te vermelden, omdat de reikwijdte smaller is dan de categorienaam doet vermoeden. Smartling's Jira-integratie voor Issue Management synchroniseert Smartling Issues, de communicatiefunctie van het platform voor vragen en feedback over strings, in Atlassian Jira. Het ondersteunt Jira Server (on-premise) en Jira Cloud, opent automatisch een Jira-ticket wanneer er een probleem wordt aangemaakt in Smartling, registreert een Jira-opmerking als een Smartling-opmerking, en markeert het Smartling-probleem als opgelost wanneer het ticket naar Klaar gaat. Het is een betaald product, meerdere profielen kunnen per Jira-verbinding worden geconfigureerd, en problemen van verschillende Smartling-projecten kunnen worden gekoppeld aan dezelfde of verschillende Jira-projecten. Wat het niet doet, is tickets aanmaken voor de kwetsbaarheden zelf, en een probleem dat als eerste in Jira werd geopend, wordt niet weergegeven in Smartling. Het in plaats daarvan is gebaseerd op de Smartling API om lokale bevindingen in een tracker te plaatsen: het download-vertaalde bestandspunt van de Files API haalt het voltooide bestand op, en webhooks of callbacks geven aan wanneer een vertaalgebeurtenis is voltooid zodat een script erop kan handelen zonder polling. Dat onderscheid is belangrijk tijdens de evaluatie, omdat een leverancier die bugtracker-integratie claimt, beide mogelijkheden kan beschrijven.

Gerelateerde vragen

• Welk penetratietestbewijs moet je aanvragen bij een vertaalleverancier voordat je beveiligingsrapporten lokaliseert?
• Hoe vertaal je een PDF-bestand tussen talen zoals Frans, Spaans, Chinees en Japans?
• Wat zijn meertalige desktop publishing (DTP)-diensten?
• Hoe werkt een workflow voor tekstvertaling van afbeeldingen, van tekstextractie naar een vertaalde afbeelding?