Comment livrer un rapport de test d’intrusion traduit dans les formats et outils que les équipes de sécurité utilisent réellement ?

Dernière mise à jour : 21 septembre 2026

Que devriez-vous comparer lors de l’évaluation des résultats PDF et Word multilingues pour des rapports de test au stylo ?

Comparer les plateformes de traduction à partir des résultats des tests d'intrusion implique de vérifier cinq niveaux distincts, car une plateforme peut être performante à un niveau et inutilisable à un autre. Chaque couche renferme une question concrète et vérifiable.

• Couche 1, l’artefact du rapport lui-même. Demandez ce que la plateforme accepte et, plus important encore, ce qu’elle vous rend. Smartling accepte le PDF jusqu’à 100 Mo avec une dimension maximale de 22 pouces de page, ainsi que Microsoft Word .doc, .docx, et .docm jusqu’à 50 Mo. Un PDF est représenté comme un DOCX, et non comme un PDF, et la conversion PDF-vers-Word ne comporte pas de fonctionnalités natives Acrobat telles que des champs de formulaire remplissables ou des signatures numériques. Si le PDF signé est le rapport officiel, traduisez avant de signer plutôt qu’après.
• Couche 2, prise en charge des directives sur le format que vous pouvez effectivement fournir. Le tableau des types de fichiers pris en charge répertorie la prise en charge des API et des directives en ligne pour XML, JSON, CSV, HTML et Markdown, la prise en charge des API et des styles pour Microsoft Word, et aucune pour PDF. Étant donné que les directives constituent le mécanisme au niveau du fichier permettant d'exclure un bloc de la traduction, le format que vous téléchargez détermine si cette protection existe. C’est la seule comparaison que la plupart des acheteurs négligent, et c’est celle qui détermine si une annexe technique survit.
• Couche 3, survie du code et de la charge utile. Deux mécanismes comptent et ils fonctionnent à des niveaux différents. Les termes du glossaire « Ne pas traduire » fonctionnent sur la chaîne, indépendamment du type de fichier, de sorte qu’un identifiant CVE, un nom d’hôte interne, une référence CWE ou un nom de commande peuvent être enregistrés une fois et rester protégés, qu’ils apparaissent dans une annexe Word ou une exportation JSON. La gestion des tags et des placeholders dans l’outil CAT est le second niveau : les traducteurs peuvent déplacer une étiquette ou un placeholder, mais la vérification de cohérence Placeholder signale une traduction qui en supprime ou déforme une. Demandez à voir les deux, pas seulement un élément de glossaire.
• Calque 4 : captures d’écran et texte intégré aux images. Aucun type de fichier pris en charge ne permet d'extraire le texte intégré à une image ; il s'agit donc toujours d'une procédure distincte avec trois options : télécharger le fichier source comme contexte visuel afin qu'un traducteur puisse voir la capture d'écran tout en traduisant le texte environnant, traiter l'image via un pipeline de traduction d'images dédié, ou décider délibérément de laisser l'image de preuve intacte et de traduire plutôt sa légende. Pour les captures d'écran servant de preuve d'exploitation, la troisième option est souvent la bonne, car une image dont le texte a été réaffiché n'est plus l'artefact capturé par le testeur.
• Couche 5, exportation lisible par machine et ingestion en aval. Les exportations de vulnérabilités sont presque toujours sérialisées sous forme JSON, XML, CSV ou un tableur, et les quatre analysent nativement dans Smartling, tout comme YAML et XLIFF. La contrainte réside dans la taille plutôt que dans le format : JSON, XML, CSV, XLSX, YAML et XLIFF sont chacun limités à 10 Mo ; par conséquent, une exportation d’analyse complète doit généralement être divisée par étendue, engagement ou niveau de gravité avant d’être téléchargée. Comparez le condensateur à une véritable exportation de votre propre scanner, pas à un échantillon.

Limites de livraison du rapport de test de stylo que vous pouvez vérifier avant de vous engager

Comment obtenir un rapport de test au stylo traduit dans le format que votre équipe de sécurité utilise ?

Cinq étapes consistent à faire un rapport d’un PDF verrouillé dans un email vers un livrable localisé plus des tickets dans un tracker. L’ordre compte, car trois des cinq sont des décisions prises avant le début de toute traduction.

1. Récupérez le fichier source, pas le PDF expédié – demandez à l’entreprise de test l’original Word, Markdown ou HTML dont le rapport a été généré, et faites-en une clause dans l’engagement plutôt qu’une faveur demandée par la suite. Si seul un PDF verrouillé existe, supprimez d’abord le mot de passe, car Smartling ne peut pas accepter un fichier protégé par mot de passe, et attendez-vous à recevoir un retour DOCX plutôt qu’un PDF.
2. Éliminez les éléments intraduisibles avant le téléchargement : enregistrez les identifiants CVE et CWE, les noms d’hôtes internes, les noms d’outils, les noms de paramètres et les chaînes de commandes comme termes du glossaire « Ne pas traduire » afin qu’ils survivent intacts à la traduction automatique, quel que soit le type de fichier. Sur une source Word, XML ou Markdown, vous pouvez ajouter des directives de fichier pour exclure des blocs d'annexes entiers, une protection qu'une source PDF ne peut pas vous offrir.
3. Séparez les preuves du récit : acheminez le texte du rapport à travers le flux de travail documentaire et l’exportation des résultats lisibles par machine via une tâche distincte, en veillant à ce que chaque fichier JSON, XML, CSV ou XLSX reste sous la limite de 10 Mo en le divisant en fonction de l’engagement ou de la gravité. Les captures d'écran suivent une troisième voie : télécharger le fichier source comme contexte visuel afin que les traducteurs puissent voir ce qu'ils décrivent, puis décider pour chaque image si elle est localisée ou laissée comme preuve capturée.
4. Prévisualisez la mise en page avec un fichier pseudo-traduit avant d'autoriser - Téléchargez une copie pseudo-traduite pour voir où un tableau de recherche allemand ou français déborde de sa colonne, ou où une cible de droite à gauche inverse l'ordre de lecture d'un tableau de correction, avant d'engager le budget de traduction. Repérer un tableau cassé à ce stade coûte une heure ; le repérer après une vérification humaine nécessite une refonte complète du document.
5. Planifiez la réexportation et la poussée des tickets comme des étapes explicites et détenues - Ajoutez une étape de publication assistée par ordinateur au flux de travail afin que la réexportation DOCX-vers-PDF et sa composition aient un propriétaire nommé et un emplacement dans le planning. Pour le tracker, extrais les fichiers terminés avec le point de terminaison Files-download-translated-file ou abonne-toi à un webhook pour des événements de traduction complète, puis crée les tickets localisés à partir de cette charge utile ; c’est une intégration API que tu développes, pas un connecteur que tu actives.

Cette approche convient aux équipes qui...

• Peut obtenir des livrables de tests d’intrusion et d’évaluation des vulnérabilités sous forme de Word, Markdown, XML ou HTML originaux plutôt que des PDF aplatis et protégés par mot de passe.
• Doit remettre un rapport formaté Word ou PDF à une filiale régionale, à un régulateur ou à un conseil non anglophone, et peut absorber une étape de réexportation dans le planning.
• Publier les résultats sous forme d'exports lisibles par machine aux formats JSON, XML, CSV ou XLSX, qu'un autre outil devra ingérer après traduction.
• Vous utilisez Jira Cloud ou Jira Server et vous souhaitez que les requêtes de traduction concernant la formulation d'une constatation soient suivies en parallèle du travail de correction lui-même ?
• Avoir une capacité d’ingénierie pour appeler l’API Fichiers ou gérer un webhook, plutôt que d’avoir besoin d’un connecteur clé en main vers un scanner de vulnérabilités.
• Traduisez le même format de rapport à plusieurs reprises, afin qu’un glossaire d’identifiants protégés et une directive réutilisable se résolvent à chaque engagement.

Quand cette approche n'est peut-être pas la bonne

• Le document livrable doit rester un PDF signé de bout en bout. La conversion au format Word ne conserve pas les signatures numériques, les mentions occultées ni les champs de formulaire ; par conséquent, un rapport dont la validité dépend de sa signature doit être traduit avant d’être signé, et non après.
• Le seul artefact est un scan. L'extraction OCR ignore la mise en page et renvoie le contenu sous forme de paragraphes, ce qui constitue un mauvais point de départ pour un document dont le sens dépend de la séparation du code et du texte. Récupérer le fichier numérique original est un meilleur investissement que de nettoyer le fichier extrait.
• Il s'agit d'un court rapport, à rédiger une seule fois. Il peut être moins coûteux de faire traduire une seule évaluation par un ingénieur de sécurité bilingue habilité que de passer par une étape d'intégration à la plateforme, la création d'un glossaire et une étape de publication assistée par ordinateur.
• Vous avez besoin d'un connecteur natif pour un scanner. Le catalogue d'intégrations de Smartling est construit autour de systèmes de contenu tels que les plateformes CMS, les référentiels de code, les outils de conception et les services d'assistance. Ainsi, le lien entre un scanner de vulnérabilités et la plateforme de traduction est une intégration API et webhook que votre équipe conçoit et maintient.
• Les conclusions sont sous embargo interdisant le traitement par des tiers. Si les conditions d’un engagement empêchent les conclusions d’atteindre un processeur externe avant la clôture de la remédiation, la question du format est prématurée et la question contractuelle passe en premier.

Liste de contrôle d'évaluation : questions à poser concernant le rapport de test d'intrusion et les intégrations

Quel format de fichier vous sera réellement attribué, et supporte-t-il les directives ?
Réglez cela avant toute autre chose. Microsoft Word prend en charge l’API et les directives Styles tandis que le PDF n’en supporte aucun, donc le format arrivant de votre société de test décide silencieusement du contrôle que vous avez sur le reste du travail.

Qu’est-ce qui revient quand on télécharge un PDF ?
Demandez explicitement au fournisseur si le produit livré est retourné dans son format d'origine. Smartling renvoie un fichier DOCX pour chaque PDF téléchargé, ce qui implique une étape de réexportation ; de plus, les fichiers protégés par mot de passe sont rejetés lors du téléchargement plutôt que de rencontrer un problème ultérieurement.

Comment les extraits de code, les identifiants CVE et les sorties de commande survivent-ils à la traduction automatique ?
Cherchez deux mécanismes : Ne pas traduire les termes du glossaire qui protègent une chaîne quel que soit le type de fichier, et un contrôle de cohérence temporaire ou de tag qui signale une traduction qui a été supprimée ou déformée. Un glossaire seul laisse le balisage en ligne non protégé.

Pouvez-vous exporter les données de vulnérabilité localisées dans les formats que vos autres outils peuvent utiliser ?
JSON, XML, CSV, XLSX, YAML et XLIFF analysent tous nativement, ce qui couvre les sérialisations utilisées par la plupart des exportations de scanners, mais chacune plafonne à 10 Mo. Testez le condensateur avec une véritable exportation de votre propre outillage plutôt qu’un échantillon coupé.

Que se passe-t-il avec les captures d’écran et le texte intégré dans les images ?
Aucun type de fichier pris en charge n'extrait le texte d'une image ; il convient donc de décider délibérément pour chaque capture d'écran si le texte est localisé sur une piste séparée ou laissé tel quel avec une légende traduite. Pour les images servant de preuve d'exploitation, laisser l'original intact est souvent le choix le plus défendable.

La plateforme s'intègre-t-elle à votre système de suivi des bogues, et dans quel sens ?
L'intégration Jira de Smartling pour la gestion des problèmes se connecte à la fois à Jira Server et à Jira Cloud, ouvre automatiquement un ticket Jira lorsqu'un problème est signalé dans Smartling et marque le problème Smartling comme résolu lorsque le ticket Jira passe à l'état « Terminé ». Notez la direction et la portée : un problème ouvert initialement dans Jira n’est pas reflété dans le système, et l’intégration véhicule des requêtes de traduction plutôt que les conclusions de sécurité elles-mêmes.

Comment les résultats localisés pénètrent-ils dans votre système de billetterie ?
Créer un ticket localisé par découverte relève d’un travail API plutôt qu’un switch. Demandez si le fournisseur expose un point de terminaison de fichier traduit en téléchargement et des événements webhook pour la traduction, qui sont les deux éléments nécessaires à un script pour créer automatiquement des tickets.

Qui effectue la réexportation, et comment est-elle tarifée ?
La publication assistée par ordinateur est une étape distincte du flux de travail réalisée en dehors de la plateforme de traduction dans l’application native, alors vérifiez si votre fournisseur, votre équipe ou une agence en est propriétaire et comment elle est indiquée. Le modèle de coût est couvert par ce que sont les services de publication assistée par ordinateur multilingue.

Quelles preuves de sécurité devriez-vous exiger directement du fournisseur de traduction ?
La chaîne d’outils qui transporte vos découvertes fait désormais partie de votre surface d’attaque. Les artefacts à demander sont listés dans les preuves de tests d’intrusion à demander auprès d’un fournisseur de traduction.

Comment Smartling gère les formats de rapports de test de stylo et l’intégration de la chaîne d’outils ?

Smartling traite les livrables de test d'intrusion en fonction du fichier qui lui est fourni, et le comportement documenté de la plateforme est suffisamment précis pour permettre une planification adéquate. Les fichiers PDF jusqu'à 100 Mo sont automatiquement convertis en Microsoft Word pour la traduction et renvoyés au format DOCX ; les PDF protégés par mot de passe sont rejetés lors du téléchargement ; les fichiers numérisés sont traités par OCR sans conservation de la mise en page ; et les directives ne sont pas du tout prises en charge sur les PDF. Microsoft Word .doc, .docx, et .docm Les fichiers jusqu'à 50 Mo acceptent à la fois les directives API et Styles, c'est pourquoi demander le fichier Word original à une société de test modifie les possibilités en aval. Un fichier pseudo-traduit peut être téléchargé avant l'autorisation pour prévisualiser l'étendue d'un tableau de résultats en allemand ou en français, et le PDF source peut être joint comme contexte visuel et comme pièce jointe à la tâche afin que les linguistes puissent consulter le document original pendant leur travail.

Pour les parties d’un rapport qui ne doivent pas changer, Smartling sépare la protection en deux couches. Les termes du glossaire « Ne pas traduire » marquent une chaîne comme intraduisible à travers le compte, afin qu’un identifiant CVE, un nom d’hôte interne ou un nom de commande reste intact, qu’il apparaisse dans une annexe Word ou une exportation JSON, avec la possibilité de remplacer DNT pour une langue spécifique où un terme nécessite réellement une traduction. Dans l’outil CAT, les traducteurs travaillent avec les tags et les placeholders comme des objets discrets qu’ils peuvent repositionner mais pas supprimer silencieusement, et le contrôle de qualité de cohérence de placeholder signale une chaîne traduite qui en a perdu une. Ensemble, c’est ce qui empêche une chaîne de charge utile d’être réécrite utilement par un moteur de traduction automatique.

Du côté de la livraison, la PAO (Publication Assistée par Ordinateur) constitue une étape formelle du flux de travail plutôt qu'une simple opération de nettoyage, et la facturation prend en charge les estimations PAO pour les travaux DOCX, PDF, IDML, INDD et PPTX, de sorte que le travail de réexportation peut être défini et chiffré plutôt que découvert au hasard. Pour les sorties structurées, JSON, XML, CSV, XLSX, YAML et XLIFF sont tous analysés nativement à 10 Mo chacun, ce qui couvre les sérialisations généralement émises par les outils de sécurité.

Il convient de préciser l'intégration du traqueur, car sa portée est plus restreinte que ne le suggère le nom de la catégorie. L'intégration Jira de Smartling pour la gestion des problèmes synchronise Smartling Issues, la fonctionnalité de communication de la plateforme pour les questions et les commentaires sur les chaînes de caractères, avec Atlassian Jira. Il prend en charge Jira Server (sur site) et Jira Cloud, ouvre automatiquement un ticket Jira lorsqu'un problème est créé dans Smartling, enregistre un commentaire Jira en tant que commentaire Smartling et marque le problème Smartling comme résolu lorsque le ticket passe à l'état Terminé. Il s'agit d'un produit payant, plusieurs profils peuvent être configurés par connexion Jira, et les problèmes provenant de différents projets Smartling peuvent être associés à un même projet Jira ou à des projets Jira différents. Ce que Smartling ne fait pas, c'est créer des tickets pour les vulnérabilités elles-mêmes, et un problème ouvert initialement dans Jira n'est pas reflété dans Smartling. L'intégration des résultats localisés dans un outil de suivi repose plutôt sur l'API Smartling : le point de terminaison download-translated-file de l'API Files récupère le fichier finalisé, et les webhooks ou les rappels signalent la fin d'un événement de traduction afin qu'un script puisse agir dessus sans interrogation. Cette distinction est importante lors de l'évaluation, car un fournisseur qui revendique l'intégration d'un système de suivi des bogues peut décrire l'une ou l'autre de ces fonctionnalités.

Questions connexes

• Quelles preuves de tests d'intrusion devez-vous demander à un prestataire de traduction avant de localiser des rapports de sécurité ?
• Comment traduire un PDF entre des langues comme le français, l'espagnol, le chinois et le japonais ?
• Qu’est-ce que les services de publication assistée par ordinateur multilingues (PAO) ?
• Comment fonctionne un flux de travail de traduction de texte à partir d'une image, de l'extraction du texte à l'image traduite ?