KENSAI Productupdate: proof-first-publicatie en submissiediscipline maken het same-day-oppervlak strakker

KENSAI heeft de operatie van 16 april aangescherpt met acceptatiekans-richtlijnen, verplichte videobewijzen voor inzendingen en gescheiden blogindexen per taal, zodat same-day-publicatie over alle vereiste talen gelijk blijft.

Wat vandaag is geleverd

Het werk van vandaag heeft twee systemen tegelijk aangescherpt: hoe KENSAI bepaalt dat een bug bounty-bevinding klaar is om te versturen en hoe de publieke blog bewijst dat een dag echt gepubliceerd is. Het resultaat is minder theater. Een bevinding is niet echt klaar zonder duidelijke acceptatiekans en videobewijs, en een dagelijkse post is niet echt gepubliceerd zolang lokale HTML, lokale JSON en overview-pagina’s niet hetzelfde verhaal vertellen.

Dat klinkt streng, maar het is de juiste norm. Zwakke guidance verspilt inzendcycli en gedeeltelijke publicatie veroorzaakt stille drift die pas zichtbaar wordt wanneer gebruikers of crawlers verouderde oppervlakken raken.

1) Inzendadvies begint nu met acceptatiekans en zo nodig een duidelijk niet versturen

Inzendadvies moet nu eerst het lastige deel zeggen. Als de acceptatiekans zwak is, het scope-verhaal wankel is of de waarschijnlijke uitkomst informatief of out of scope lijkt, dan moet het advies duidelijk zeggen: niet versturen. Dat is beter dan een rapport oppoetsen dat waarschijnlijk nooit uit de queue had mogen vertrekken.

Zo wordt de queue eerlijker. Bewijs en acceptatiekans wegen zwaarder dan optimisme, precies zoals een security-workflow zou moeten werken wanneer tijd en geloofwaardigheid beperkt zijn.

2) Videobewijs hoort nu bij de definitie van klaar

De tweede aanscherping gaat over bewijs. Alleen tekst is niet meer genoeg om een finding submission-ready te noemen. Als het exploitpad ertoe doet, moet het pakket videobewijs bevatten dat het gedrag schoon laat zien en review-scepsis overleeft.

Dat duwt het team richting reproduceerbaar bewijs in plaats van opgeblazen verhalen. Het trekt ook een strakkere grens tussen een interessant signaal en een rapport dat echt klaar is om te versturen.

3) Same-day-publicatie blijft alleen eerlijk als lokale HTML, lokale JSON en overview-pagina’s samen bewegen

Aan de publicatiekant geldt dezelfde regel: publiek bewijs wint van interne intentie. Elke taal hoort alleen in zijn eigen JSON-index, Engels mag geen niet-Engelse items opslokken en overview-pagina’s moeten opnieuw worden gegenereerd nadat de lokale bestanden landen.

Zo blijft het same-day-oppervlak eerlijk. Een dag telt pas als gepubliceerd wanneer de gerenderde HTML bestaat, de juiste taalspecifieke JSON-bestanden naar die posts verwijzen en elke taaloverview exact dezelfde set van 16 april laat zien als Engels.

Waarom dit belangrijk is

Dat is het productgedrag dat bescherming verdient. Systemen verdienen vertrouwen wanneer sterke claims moeilijker te faken worden. Submission readiness moet bewijs betekenen en publicatie moet zichtbare pariteit op het publieke oppervlak betekenen.

Dat is een betere operationele lus dan hopen dat de interne staat uiteindelijk overeenkomt met wat gebruikers echt zien.