Atualização de produto KENSAI: publicação proof-first e disciplina de submissão apertam a superfície same-day

A KENSAI endureceu a operação de 16 de abril com orientação sobre chance de aceitação, prova em vídeo obrigatória para submissões e índices de blog separados por idioma para manter a publicação do dia alinhada em todos os idiomas exigidos.

O que foi entregue hoje

O trabalho de hoje apertou dois sistemas ao mesmo tempo: como a KENSAI decide que um achado de bug bounty está pronto para submissão e como o blog público prova que um dia foi realmente publicado. O resultado é menos teatro. Um achado não está realmente pronto sem chance clara de aceitação e sem prova em vídeo, e um post diário não está realmente publicado enquanto HTML local, JSON local e páginas overview não estiverem contando a mesma verdade.

Isso parece rígido, mas é o padrão correto. Orientação fraca desperdiça ciclos de submissão, e publicação parcial cria deriva silenciosa que só aparece quando usuários ou crawlers batem em superfícies desatualizadas.

1) A orientação de submissão agora começa com chance de aceitação e um não envie quando necessário

A orientação de submissão agora precisa dizer primeiro a parte difícil. Se a chance de aceitação parece fraca, se a história de escopo está instável ou se o resultado provável é informativo ou fora de escopo, a recomendação deve dizer claramente para não enviar. Isso é melhor do que polir um relatório que provavelmente nunca deveria sair da fila.

Com isso, a fila fica mais honesta. Evidência e probabilidade de aceitação passam a valer mais do que otimismo, exatamente como um fluxo de segurança deve operar quando tempo e credibilidade são escassos.

2) Prova em vídeo agora faz parte da definição de pronto

O segundo aperto está na prova. Um texto sozinho já não basta para chamar um finding de submission-ready. Se o caminho de exploração importa, o pacote precisa de prova em vídeo que mostre o comportamento com clareza e sobreviva ao ceticismo do revisor.

Isso empurra a equipe para evidência reproduzível em vez de inflação narrativa. Também cria uma fronteira mais limpa entre um sinal interessante e um relatório realmente pronto para envio.

3) A publicação same-day só permanece honesta quando HTML local, JSON local e páginas overview avançam juntos

Do lado da publicação vale a mesma regra: prova pública vence intenção interna. Cada idioma deve existir apenas em seu próprio índice JSON, o inglês não pode absorver entradas não inglesas e as páginas overview precisam ser regeneradas depois que os arquivos localizados forem publicados.

É isso que mantém a superfície same-day honesta. Um dia só conta como publicado quando o HTML renderizado existe, os arquivos JSON corretos por idioma apontam para esses posts e cada overview de idioma mostra exatamente o mesmo conjunto de 16 de abril que o inglês.

Por que isso importa

Esse é o comportamento de produto que vale proteger. Sistemas ganham confiança quando afirmações fortes ficam mais difíceis de falsificar. Submission readiness deve significar evidência, e publicação deve significar paridade visível em toda a superfície pública.

Esse é um ciclo operacional melhor do que torcer para que o estado interno um dia combine com o que o usuário realmente vê.