Leer una puntuación con criterio

Cada comprobación devuelve de 0 a 10 y la puntuación global es un promedio ponderado por el riesgo. Los pesos de la documentación oficial son: crítico 10, alto 7,5, medio 5 y bajo 2,5. Se multiplica cada puntuación por su peso, se suman los resultados y se divide entre la suma de los pesos.

Un ejemplo con dos comprobaciones: una High con 8 y una Low con 4. Aportan 8 × 7,5 = 60 y 4 × 2,5 = 10; los pesos suman 10; la media es 7,0. Fíjate en que la comprobación de riesgo alto pesó tres veces más que la de riesgo bajo.

Abre las consultas. En este laboratorio la global se calcula solo con las seis comprobaciones que lista cada biblioteca. Calcula la de tablaplana.

Detrás de cada media hay una comprobación que la arrastra. Encontrarla es el primer paso del criterio: ¿es una carencia que se arregla con un archivo, o un hábito del equipo que no va a cambiar?

Consulta las comprobaciones de tablaplana y mira solo las de riesgo High.

Hay comprobaciones que no admiten compensación. La de flujos de trabajo peligrosos mira si el proceso automático del proyecto usa entradas no confiables de una forma que permitiría ejecutar algo ajeno dentro de su cadena de construcción. Un fallo ahí afecta a lo que el proyecto publica, y por tanto a lo que tú instalas.

Compara las dos candidatas y localiza la que tiene ese tipo de riesgo en 0.

csvligero tiene la mayor puntuación global de las dos, y tablaplana es la que parece más débil. El comité querría elegir por la media. Piensa en lo que cada fila dice: un 10 en revisión de código y en mantenimiento no cambia lo que significa un 0 en la comprobación crítica.

tablaplana tiene un 0 en la comprobación de pruebas de fuzzing, la técnica de alimentar el programa con entradas aleatorias para encontrar fallos. Un cero ahí dice que el proyecto no usa esa práctica, no que contenga un fallo. Es información sobre cuánto se ha buscado, no sobre lo que se ha encontrado.