Supresiones con justificación y caducidad

Hay dos formas de silenciar un resultado. En el propio código, con un comentario junto a la línea: en Semgrep el comentario lleva la palabra nosemgrep y, si se escribe bien, el identificador de la regla concreta; si se omite el identificador, quedan silenciadas todas las reglas en esa línea. O fuera del código, en un registro o en el tablero de la herramienta. La primera viaja con el código y se ve en la revisión de cambios; la segunda se puede auditar en un solo sitio. Muchos equipos combinan las dos.

Lo que convierte una supresión en una decisión y no en un atajo son cuatro cosas: que silencie una regla concreta en un sitio concreto, que diga qué evidencia la sostiene, que la apruebe alguien que no la escribió y que caduque. La caducidad obliga a mirar otra vez cuando el código ya cambió, que es justo cuando una supresión antigua se vuelve peligrosa.

Abre el laboratorio y lee politica-supresiones.txt. Después cruza comentarios-en-codigo.txt con registro-supresiones.csv: cada comentario debería tener su entrada, y la mayoría lleva su identificador al final para encontrarla rápido. Busca el comentario que no tiene ninguna. Según la política, ese resultado sigue abierto.

La revisión es del 16 de noviembre de 2026. Recorre la columna de caducidad del registro y compárala con esa fecha. Una supresión vencida deja de valer aunque el comentario siga en el código, y el resultado que tapaba vuelve a contar como abierto.

Una supresión sin regla concreta silencia también las reglas que todavía no existen: la regla que el equipo escriba el año que viene para un fallo nuevo nunca podrá avisar en esa línea. Por eso la política la prohíbe. Búscala en el registro y confírmala en el código.

Repasa el registro entero contra los cinco puntos de la política: regla concreta, justificación verificable, aprobador distinto del autor, caducidad de 180 días como máximo y no vencida. Una justificación que no explica nada («pendiente») no es verificable. Cuenta solo las entradas del registro; el comentario sin registro de la tarea 2 va aparte en el informe. Antes de contar, fíjate en qué resultado tapa la supresión sin justificación: en la sala de triaje era un verdadero positivo.