Verificación de cierre

El cierre de un aviso en una aplicación se prueba con evidencia del artefacto que corre, no con la intención del equipo ni con el código fuente. El criterio habitual es el SBOM del artefacto desplegado (o la lista de componentes extraída de la imagen en ejecución), la mitigación temporal retirada y la firma de alguien ajeno al equipo de la aplicación. Cada criterio cierra un hueco distinto: el primero, que el cambio llegó a producción; el segundo, que no queda una excepción abierta; el tercero, que nadie corrige su propia tarea.

Hay un desfase natural entre el momento en que se cambia la versión en el repositorio y el momento en que ese cambio se despliega. En ese intervalo la aplicación sigue afectada aunque el código ya esté bien. Es la causa más frecuente de cierres prematuros.

Abre cierre/versiones.csv y cierre/criterios-de-cierre.txt; la versión corregida del aviso es la de los criterios.

La versión que informa la canalización es la que se desplegó la última vez, pero una aplicación puede tener varias instancias y alguna puede haber quedado con una imagen anterior (por un nodo caído durante el despliegue, un reinicio con la imagen vieja o una instancia que nadie recreó). Por eso la verificación se hace sobre la instancia, no sobre la aplicación.

Lee cierre/instancias.csv y busca la que no tiene la versión corregida.

Cerrar una aplicación sin retirar su mitigación temporal deja una excepción silenciosa: si la mitigación se comporta distinto de lo esperado, nadie volverá a mirarla. El estado de cierre debe incluir una columna que lo recuerde.

Abre cierre/estado-de-cierre.csv.

Algunas aplicaciones no tienen SBOM del artefacto, o no se puede abrir la imagen. No se pueden cerrar con los criterios. La alternativa honesta es una excepción documentada: qué falta, quién responde, hasta cuándo y qué compensa mientras tanto.