Publicar el propio VEX

Una declaración de no afectado publicada es una promesa a los clientes: si se equivoca, ellos retiran de su cola un hallazgo real. Por eso, mientras el análisis no esté hecho, el estado honesto es under_investigation. El borrador que propone not_affected sin análisis ni evidencia no se publica así.

En la tabla borradores, un borrador propone un no afectado sin respaldo alguno y su hallazgo técnico confiesa que no hay análisis.

Cuando un hallazgo sí afecta al producto propio, publicar affected es lo correcto, y lo correcto incluye la acción para el cliente: actualizar un componente, activar una medida temporal o decir que no hay corrección prevista. Un affected sin acción obliga al cliente a escribir al proveedor para saber qué hacer.

Entre los dos borradores affected, uno no trae acción.

Un borrador se puede publicar cuando su estado está respaldado: el no afectado trae justificación y evidencia, el afectado trae acción, el corregido dice en qué versión y el que aún se analiza se publica como en investigación. Revisa los seis borradores y cuenta los que están listos tal como están, sin cambiarles el estado ni añadirles nada.

Un VEX no se congela. Cuando una corrección se libera, el estado de ese hallazgo pasa de affected a fixed, y eso se publica como una versión nueva del documento, con el número de versión aumentado y la fecha nueva. Las versiones anteriores se conservan: un cliente que consultó la de hace un mes debe poder ver qué decías entonces y cuándo cambió.

La tabla documento fija la regla de actualización de Valdemora.