Dónde se traza la línea

Decidir caso por caso no escala: hoy alguien para una inyección crítica, mañana otra persona la deja pasar con prisa. El umbral escrito fija la regla para todos, de una vez: por ejemplo, «cero hallazgos críticos en el análisis del código, cero secretos válidos en el repositorio, cero fallos críticos con arreglo en dependencias e imagen». En Cauce, ese umbral es un acuerdo del equipo escrito y visible, no el criterio de quien esté de turno. Un hallazgo por encima del umbral para; por debajo, se registra.

Escribir el umbral es lo que hace que la decisión de parar o avisar sea la misma el lunes que el viernes, la aplique quien la aplique.

Un umbral que no bloquea es una recomendación. Para que sirva, se ata a la fusión: la propuesta de cambio no se puede completar hasta que los controles de la cadena terminen en verde. Eso se configura como comprobaciones obligatorias en el repositorio —la fusión queda deshabilitada si algún control requerido falla— y sin excepción para nadie, tampoco para quien administra el repositorio, porque una puerta que el jefe puede saltar no es una puerta. En Cauce, la rama que va a producción exige que el análisis del código, el escaneo de secretos, la revisión de dependencias y el escaneo de imagen pasen antes de permitir fusionar.

Atar el umbral a la fusión, sin bypass, es lo que convierte una política escrita en un control que de verdad se cumple.

A veces un hallazgo por encima del umbral no se puede arreglar hoy: no hay versión corregida todavía, o el arreglo requiere un cambio grande y el riesgo real es bajo en ese caso concreto. La salida honesta no es silenciar el control ni bajar el umbral para todos: es una excepción documentada. Se anota qué hallazgo se deja pasar, quién lo aprueba, por qué el riesgo es aceptable, y la fecha en que se revisará. En Cauce, una excepción sin fecha de revisión es una alarma: significa un riesgo aceptado que nadie va a volver a mirar.

Documentar la excepción, con dueño y fecha, es lo que distingue aceptar un riesgo de esconderlo.

Cuando la cadena tiene varios controles, cada uno reporta a su manera. Reunir todos los hallazgos en un formato común y un tablero único deja ver de un vistazo el estado de seguridad de cada versión: qué controles pasaron, qué se paró, qué excepciones hay vivas y desde cuándo. En Cauce, ese tablero es lo que permite responder «¿qué está bloqueando este despliegue?» sin abrir los registros de cada escáner por separado. No es un lujo: sin un lugar único, los hallazgos se dispersan y las excepciones vencidas se pierden.

Centralizar los hallazgos es lo que convierte muchos controles sueltos en una imagen única del riesgo de cada versión.