Del informe al pipeline

No todo escaneo va en todas partes. El baseline pasivo es rápido y no ataca nada: cabe en cada solicitud de fusión y da respuesta en minutos. El escaneo activo es lento, hace ruido y ensucia el entorno: va de noche, en una ventana, o antes de liberar una versión, no en cada cambio. Y el que lleva sesión va donde se pueda sostener una cuenta de pruebas. Poner el activo en cada solicitud de fusión convierte la seguridad en el motivo por el que nadie quiere fusionar.

El pipeline de Mirasol reparte las tres cosas en tres etapas con efectos distintos. Léelo antes de contestar.

El baseline admite un archivo de reglas que traduce cada alerta a una acción: FAIL (el trabajo termina con código de salida 1), WARN (código 2), INFO o IGNORE. Por defecto todo es WARN: el pipeline avisa y no para nada, que es lo contrario de lo que se buscaba. Dejar todas en WARN produce un informe que se ignora; ponerlas todas en FAIL produce un pipeline que nadie puede fusionar.

La disciplina es parar solo por lo que es seguro y es barato de arreglar y avisar del resto. Se escoge poco, se justifica en una nota y se revisa.

El escaneo nocturno repite alertas que ya están en el tablero. Lo que interesa cada mañana es lo nuevo: lo que apareció respecto a la corrida anterior. Un buen pipeline compara y lo marca, para que quien lea el informe no tenga que reconstruirlo. Lo que ya tenía tarea no se reabre; lo nuevo, sí.

Un escaneo con ventana es un compromiso con otra gente: el entorno de pruebas lo usan los equipos fuera de esas horas. Cuando el nocturno termina después de la ventana, hay un problema de operación que no sale en ningún informe de seguridad y que sí hace que mañana pidan apagarlo. Se mide con las horas del registro y se corrige acotando la duración.

El nocturno terminó con código de salida 2 y la etapa quedó en amarillo, sin bloquear nada. Hay una alerta nueva de riesgo medio, con confianza baja. No es un bloqueo ni un descarte. La decisión es de proceso: el hallazgo se convierte en una tarea con dueño y fecha, se verifica a mano porque la confianza es baja y, si se confirma, se prioriza como cualquier otro. Y lo que nunca se hace es dejar que el amarillo se vuelva normal.