Comment fournir un rapport de test d'intrusion traduit dans les formats et avec les outils réellement utilisés par les équipes de sécurité ?

Dernière mise à jour : 21 septembre 2026

Que devriez-vous comparer lors de l’évaluation des résultats PDF et Word multilingues pour les rapports de test au stylo?

Comparer les plateformes de traduction à partir des résultats des tests d'intrusion implique de vérifier cinq niveaux distincts, car une plateforme peut être performante à un niveau et inutilisable à un autre. Chaque couche contient une question concrète et vérifiable.

• Couche 1, l’artefact du rapport lui-même. Demandez ce que la plateforme accepte et, plus important encore, ce qu’elle vous rend. Smartling accepte le PDF jusqu’à 100 Mo avec une dimension maximale de page de 22 pouces, ainsi que Microsoft Word .doc, .docx, et .docm jusqu’à 50 Mo. Un PDF est retourné comme un DOCX, et non comme un PDF, et la conversion PDF-vers-Word n’intègre pas de fonctionnalités natives d’Acrobat telles que des champs de formulaire remplissables ou des signatures numériques. Si le PDF signé est le rapport officiel, traduisez avant de signer plutôt qu’après.
• Couche 2, support directif sur le format que vous pouvez réellement fournir. Le tableau des types de fichiers supportés liste le support des API et des directives en ligne pour XML, JSON, CSV, HTML et Markdown, la prise en charge des API et des styles pour Microsoft Word, et aucun support pour le PDF. Puisque les directives sont le mécanisme au niveau du fichier pour exclure un bloc de la traduction, le format que vous téléchargez détermine si cette protection existe vraiment. C’est la comparaison unique que la plupart des acheteurs sautent, et c’est celle qui décide si une annexe technique subsiste.
• Couche 3, survie du code et de la charge utile. Deux mécanismes sont importants et ils fonctionnent à des niveaux différents. Les termes du glossaire « Ne pas traduire » fonctionnent sur la chaîne de caractères, peu importe le type de fichier. Ainsi, un identifiant CVE, un nom d'hôte interne, une référence CWE ou un nom de commande peuvent être enregistrés une seule fois et rester protégés, qu'ils apparaissent dans une annexe Word ou une exportation JSON. La gestion des balises et des espaces réservés dans l'outil CAT constitue le deuxième niveau : les traducteurs peuvent déplacer une balise ou un espace réservé, mais la vérification de la cohérence des espaces réservés signale une traduction qui en supprime ou en déforme un. Demandez à voir les deux, et pas seulement une fonction de glossaire.
• Calque 4 : captures d’écran et texte intégré aux images. Aucun type de fichier pris en charge ne permet d'extraire le texte intégré à une image ; il s'agit donc toujours d'une procédure distincte avec trois options : télécharger le fichier source comme contexte visuel afin qu'un traducteur puisse voir la capture d'écran tout en traduisant le texte environnant, traiter l'image via un pipeline de traduction d'images dédié, ou décider délibérément de laisser l'image de preuve intacte et de traduire plutôt sa légende. Pour les captures d'écran servant de preuve d'exploitation, la troisième option est souvent la bonne, car une image dont le texte a été réaffiché n'est plus l'artefact capturé par le testeur.
• Couche 5, exportation lisible par machine et ingestion en aval. Les exportations de vulnérabilités sont presque toujours sérialisées en JSON, XML, CSV ou un tableur, et les quatre analysent nativement dans Smartling, tout comme YAML et XLIFF. La contrainte est la taille plutôt que le format : JSON, XML, CSV, XLSX, YAML et XLIFF font chacun un condensateur de 10 Mo, donc une exportation par balayage complet doit généralement être divisée par portée, engagement ou bande de sévérité avant l’upload. Comparez le condensateur à une vraie exportation de votre propre scanner, pas à un échantillon.

Limites de livraison des rapports de tests d'intrusion que vous pouvez vérifier avant de vous engager

Comment obtenir un rapport de test d'intrusion traduit dans le format utilisé par votre équipe de sécurité ?

Cinq étapes : un rapport d’un PDF verrouillé dans un courriel vers un livrable localisé plus des billets dans un tracker. L’ordre compte, car trois des cinq sont des décisions prises avant que toute traduction ne commence.

1. Obtenez le fichier source, pas le PDF fourni : demandez à la société de test le fichier Word, Markdown ou HTML original à partir duquel le rapport a été généré, et intégrez-le comme clause du contrat plutôt que de le considérer comme une faveur demandée ultérieurement. S'il n'existe qu'un PDF verrouillé, supprimez d'abord le mot de passe, car Smartling ne peut pas accepter un fichier protégé par mot de passe et attend un fichier DOCX en retour plutôt qu'un PDF.
2. Verrouillez les intraduisibles avant le téléversement – enregistrez les identifiants CVE et CWE, les noms d’hôte internes, les noms d’outils, les noms de paramètres et les chaînes de commandes comme termes du glossaire « Ne pas traduire » afin qu’ils survivent intacts à la traduction automatique, peu importe le type de fichier. Sur une source Word, XML ou Markdown, vous pouvez ajouter des directives de fichier par-dessus pour exclure des blocs annexes entiers, ce qui est une protection qu’une source PDF ne peut pas vous offrir.
3. Séparez les preuves du récit : acheminez le texte du rapport à travers le flux de travail documentaire et l’exportation des résultats lisibles par machine via une tâche distincte, en veillant à ce que chaque fichier JSON, XML, CSV ou XLSX reste sous la limite de 10 Mo en le divisant en fonction de l’engagement ou de la gravité. Les captures d'écran suivent une troisième voie : télécharger le fichier source comme contexte visuel afin que les traducteurs puissent voir ce qu'ils décrivent, puis décider pour chaque image si elle est localisée ou laissée comme preuve capturée.
4. Prévisualisez la mise en page avec un fichier pseudo-traduit avant d'autoriser - Téléchargez une copie pseudo-traduite pour voir où un tableau de recherche allemand ou français déborde de sa colonne, ou où une cible de droite à gauche inverse l'ordre de lecture d'un tableau de correction, avant d'engager le budget de traduction. Repérer un tableau brisé à ce stade coûte une heure ; le repérer après une vérification humaine nécessite une refonte complète du document.
5. Planifiez la réexportation et la poussée des tickets comme des étapes explicites et détenues – Ajoutez une étape de publication assistée à la publication assistée au flux de travail afin que la réexportation DOCX-vers-PDF et sa composition aient un propriétaire nommé et un emplacement dans l’horaire. Pour le tracker, extrais les fichiers terminés avec le point de terminaison Files API download-translated-file ou abonne-toi à un webhook pour des événements de traduction complète, puis crée les tickets localisés à partir de cette charge utile; c’est une intégration API que tu construis, pas un connecteur que tu actives.

Cette approche convient aux équipes qui...

• Peut obtenir des livrables de tests d’intrusion et d’évaluation des vulnérabilités sous forme de Word, Markdown, XML ou HTML originaux plutôt que des PDF aplatis protégés par mot de passe.
• Doit remettre un rapport formaté Word ou PDF à une filiale régionale, à un organisme de réglementation ou à un conseil non anglophone, et peut absorber une étape de réexportation dans le calendrier.
• Publier les résultats sous forme d'exportations lisibles par machine aux formats JSON, XML, CSV ou XLSX, qu'un autre outil devra ingérer après traduction.
• Lancez Jira Cloud ou Jira Server et souhaitez que des requêtes de traduction concernant la formulation d’une conclusion soient suivies en même temps que le travail de remédiation lui-même.
• Avoir une capacité d’ingénierie pour appeler l’API Fichiers ou gérer un webhook, plutôt que d’avoir besoin d’un connecteur clé en main vers un scanner de vulnérabilités.
• Traduisez systématiquement le même format de rapport afin qu'un glossaire des identifiants protégés et un ensemble de directives réutilisables soient rentabilisés d'une mission à l'autre.

Quand cette approche n'est peut-être pas la bonne

• Le livrable doit rester un PDF signé de bout en bout. La conversion au format Word ne conserve pas les signatures numériques, les mentions occultées ni les champs de formulaire ; par conséquent, un rapport dont la validité dépend de sa signature doit être traduit avant d’être signé, et non après.
• Le seul artefact est un scan. L’extraction OCR élimine la mise en page et retourne le contenu sous forme de plusieurs paragraphes, ce qui constitue un mauvais point de départ pour un document dont le sens dépend de la séparation du code de la prose. Récupérer l’original numérique est un meilleur investissement que de nettoyer l’extraction.
• Le travail, c’est un court rapport, une fois. Une seule évaluation traduite une seule fois peut être moins coûteuse à gérer avec un ingénieur en sécurité bilingue habilité que de passer par l’intégration de la plateforme, la compilation d’un glossaire et une étape de publication assistée par ordinateur.
• Vous avez besoin d'un connecteur natif pour un scanner. Le catalogue d'intégrations de Smartling est construit autour de systèmes de contenu tels que les plateformes CMS, les référentiels de code, les outils de conception et les services d'assistance. Ainsi, le lien entre un scanneur de vulnérabilités et la plateforme de traduction est une intégration API et webhook que votre équipe conçoit et maintient.
• Les résultats sont assujettis à un embargo qui interdit leur traitement par des tiers. Si les termes d'une mission empêchent que les conclusions parviennent à un sous-traitant externe avant la clôture de la réparation, la question du format est prématurée et la question contractuelle prime.

Liste de contrôle d'évaluation : questions à poser concernant le rapport de test d'intrusion et les intégrations

Quel format de fichier vous sera réellement fourni, et supporte-t-il les directives ?
Réglez ça avant toute autre chose. Microsoft Word prend en charge les API et les directives de style, contrairement au format PDF. Ainsi, le format fourni par votre entreprise de test détermine silencieusement le niveau de contrôle que vous avez sur le reste du travail.

Qu’est-ce qui revient quand on téléverse un PDF?
Demandez explicitement au fournisseur si le produit livré est retourné dans son format d'origine. Smartling retourne un fichier DOCX pour chaque PDF téléchargé, ce qui implique une étape de réexportation ; de plus, les fichiers protégés par mot de passe sont rejetés lors du téléchargement plutôt que de rencontrer un problème ultérieurement.

Comment les extraits de code, les identifiants CVE et les sorties de commande survivent-ils à la traduction automatique?
Cherchez deux mecanismes, pas un seul : Ne pas traduire les termes du glossaire qui protègent une chaîne peu importe le type de fichier, et un contrôle de cohérence de place ou d’étiquette qui signale une traduction qui a été supprimée ou déformée. Un glossaire seul laisse le balisage en ligne non protégé.

Peux-tu exporter les données de vulnérabilité localisées dans les formats que tes autres outils intègrent?
JSON, XML, CSV, XLSX, YAML et XLIFF analysent tous nativement, ce qui couvre les sérialisations utilisées par la plupart des exportations de scanners, mais chacune plafonne à 10 Mo. Compare le condensateur avec une vraie exportation de ton propre outillage plutôt qu’un échantillon coupé.

Qu’arrive-t-il aux captures d’écran et au texte intégré dans les images?
Aucun type de fichier pris en charge ne permet d'extraire le texte d'une image ; il convient donc de décider délibérément pour chaque capture d'écran si le texte est localisé sur une piste séparée ou laissé tel quel avec une légende traduite. Pour les images servant de preuve d'exploitation, laisser l'original intact est souvent le choix le plus défendable.

La plateforme s'intègre-t-elle à votre système de suivi des bogues, et dans quel sens ?
L’intégration Jira de Smartling pour la gestion des problèmes se connecte à la fois au serveur Jira et au Jira Cloud, ouvre automatiquement un ticket Jira lorsqu’un problème est soulevé dans Smartling, et marque la résolution du problème Smartling lorsque le ticket Jira passe à Terminé. Notez la direction et la portée : un problème ouvert en premier dans Jira n’est pas reflété, et l’intégration concerne les requêtes de traduction plutôt que les résultats de sécurité eux-mêmes.

Comment les résultats localisés pénètrent-ils dans votre système de billetterie?
Créer un ticket localisé par trouvaille, c’est une tâche d’API plutôt qu’un switch. Demandez si le fournisseur expose un point de terminaison de téléchargement-traduction et des événements webhook pour la traduction, qui sont les deux éléments dont un script a besoin pour créer automatiquement des billets.

Qui effectue la réexportation et comment est-elle tarifée?
La publication assistée par ordinateur (PAO) est une étape de flux de travail distincte effectuée en dehors de la plateforme de traduction dans l'application native. Alors, vérifiez si votre fournisseur, votre équipe ou une agence en est responsable et comment elle est facturée. Le modèle de coûts est abordé dans la section « Quels sont les services de publication assistée par ordinateur multilingues ? ».

Quelles preuves de sécurité devriez-vous exiger directement du fournisseur de traduction?
La chaîne d'outils qui transporte vos résultats fait maintenant partie de votre surface d'attaque. Les éléments à demander sont énumérés dans la section « Preuves de test d’intrusion à demander à un fournisseur de traduction ».

Comment Smartling gère-t-elle les formats de rapports de test de stylo et l’intégration de la chaîne d’outils?

Smartling gère un livrable de test d’intrusion selon le fichier qui lui est fourni, et le comportement documenté de la plateforme est suffisamment spécifique pour s’y opposer. Les fichiers PDF jusqu’à 100 Mo sont automatiquement convertis en Microsoft Word pour traduction et retournés sous forme DOCX; les PDF protégés par mot de passe sont rejetés lors du téléchargement; les fichiers numérisés sont traités avec OCR sans conserver la mise en page; et les directives ne sont pas du tout prises en charge sur le PDF. Microsoft Word .doc, .docx, et .docm les fichiers jusqu’à 50 Mo acceptent à la fois les directives API et Styles, c’est pourquoi demander l’original Word à une firme de test change ce qui est possible en aval. Un fichier pseudo-traduit peut être téléchargé avant autorisation pour prévisualiser jusqu’où une table de recherche s’étendra en allemand ou en français, et le PDF source peut être joint comme contexte visuel et comme pièce jointe pour que les linguistes puissent voir le document original pendant le travail.

Pour les parties d’un rapport qui ne doivent pas changer, Smartling sépare la protection en deux couches. Les termes du glossaire « Ne pas traduire » marquent une chaîne de caractères comme non traduisible dans l'ensemble du compte. Ainsi, un identifiant CVE, un nom d'hôte interne ou un nom de commande reste intact, qu'il apparaisse dans une annexe Word ou une exportation JSON, avec la possibilité de désactiver l'option « Ne pas traduire » pour une langue spécifique lorsqu'un terme nécessite réellement une traduction. À l’intérieur de l’outil CAT, les traducteurs travaillent avec des balises et des placeholders comme des objets discrets qu’ils peuvent repositionner sans supprimer silencieusement, et la vérification de qualité de cohérence de place marque une chaîne traduite qui en a perdu une. Ensemble, c’est ce qui empêche une chaîne de charge utile d’être réécrite utilement par un moteur de traduction automatique.

Du côté de la livraison, la publication assistée par ordinateur existe comme un type d’étape formelle de flux de travail plutôt qu’une simple étape de nettoyage informelle, et le devis permet d’estimer la PAO pour les emplois DOCX, PDF, IDML, INDD et PPTX, afin que le travail de réexportation puisse être défini et tarifé plutôt que découvert. Pour la sortie structurée, JSON, XML, CSV, XLSX, YAML et XLIFF analysent tous nativement à 10 Mo chacun, ce qui couvre les sérialisations que les outils de sécurité émettent habituellement.

L’intégration du tracker mérite d’être précisée, car son champ d’action est plus restreint que ce que le nom de la catégorie suggère. L’intégration Jira de Smartling pour la gestion des enjeux synchronise Smartling Issues, la fonction de communication de la plateforme pour les questions et les commentaires sur les chaînes, dans Atlassian Jira. Il supporte Jira Server (sur site) et Jira Cloud, ouvre automatiquement un ticket Jira lorsqu’un problème est créé dans Smartling, enregistre un commentaire Jira en retour comme commentaire Smartling, et marque la résolution du problème Smartling lorsque le ticket passe à Terminé. C’est un produit payant, plusieurs profils peuvent être configurés par connexion Jira, et les problèmes provenant de différents projets Smartling peuvent être mappés vers le même projet Jira ou différents. Ce qu’elle ne fait pas, c’est créer des tickets pour les vulnérabilités elles-mêmes, et un problème ouvert en premier dans Jira ne se reflète pas dans Smartling. Pousser les résultats localisés dans un tracker repose plutôt sur l’API Smartling : le point de terminaison Files-download-translated-file récupère le fichier complété, et les webhooks ou callbacks signalent quand un événement de traduction est terminé afin qu’un script puisse agir dessus sans interrogation. Cette distinction est importante lors de l’évaluation, car un fournisseur affirmant l’intégration par un suivi de bugs peut décrire l’une ou l’autre des capacités.

Questions connexes

• Quelles preuves de tests d'intrusion devez-vous demander à un fournisseur de traduction avant de localiser des rapports de sécurité ?
• Comment traduire un PDF entre des langues comme le français, l'espagnol, le chinois et le japonais ?
• Qu’est-ce que les services de publication assistée par ordinateur multilingues (PAO)?
• Comment fonctionne un flux de travail de traduction de texte à partir d'une image, de l'extraction du texte à l'image traduite ?