Del fragmento de código al hallazgo del informe

Un hallazgo que sale de leer código tiene que poder rehacerse sin el evaluador delante. Para eso lleva cinco piezas. La ubicación: archivo, función y línea, en el commit de la carta. El camino: de qué entrada sale el problema y por dónde llega al punto débil, contado en dos o tres pasos. La confirmación: la prueba dirigida que lo comprobó en ejecución, o la razón por la que no se probó y con qué otra evidencia se sostiene. El impacto realista para este negocio. Y la corrección en la causa, idealmente señalando el código del propio repositorio que ya lo resuelve en otro sitio.

Lo que no lleva es un juicio general sobre la calidad del código. «El código es inseguro» no se puede verificar, no se puede corregir y no se puede cerrar en un retesteo.

Abre la consola y lee los borradores. Cada uno dice dónde está el problema y con qué se sostiene. Uno de ellos no dice dónde: es una impresión, no un hallazgo. Puede que la impresión sea cierta, pero si lo es se convierte en tantos hallazgos como sitios concretos se encuentren, cada uno con su ubicación.

Una prueba dirigida puede salir de dos formas, y las dos valen. Si confirma, el hallazgo gana su evidencia más fuerte. Si no se reproduce, hay que leer por qué: a veces el entorno es distinto, y entonces se aclara; otras veces la lectura fue apresurada, y la prueba deja ver la validación que se pasó por alto. En ese caso el borrador se retira, y se deja constancia de la alerta que lo originó y del motivo, para que nadie lo vuelva a abrir.

Un borrador va al informe cuando tiene ubicación y una confirmación. La confirmación puede ser una prueba dirigida o, cuando la prueba está prohibida, una lectura sostenida con evidencia del propio cliente, dicha con esas palabras. Lo demás se retira o se convierte en una nota.

La prueba de la consulta de pedidos se detuvo a propósito en cuanto quedó claro que el valor llega al texto de la consulta: un nombre de columna que no existe produjo el error del motor. No se intentó leer datos, porque no hacía falta para demostrar el fallo y la carta pide confirmar, no explotar. El informe tiene que decir exactamente eso: qué se demostró, qué se infiere del código y qué no se hizo.