Relatórios

​

Visão Geral

O ZeroPath gera relatórios de segurança exportáveis para revisões de conformidade, atualizações para stakeholders e documentação de auditoria. Os relatórios são gerados de forma assíncrona e ficam disponíveis para download no dashboard. A seção Reports do dashboard tem duas abas:

• Generate — crie relatórios para download do tipo Scan, Organization SBOM, Monthly Security, Organization Summary, SLA Compliance ou SOC 2. Cada relatório é uma linha em um grupo para o seu público (liderança, auditores, times de engenharia), mostrando seu formato de arquivo e quando foi gerado pela última vez, com um botão Generate; o painel Recent lista seus próprios arquivos mais recentes com um botão de download.
• History — pesquise, filtre, baixe, tente novamente e exclua relatórios gerados anteriormente. O rótulo da aba mostra quantos relatórios você pode ver.

Duas outras páginas não são abas e são abertas pelas suas URLs:

• Views (/app/reports/views) — monte visualizações de relatório personalizadas a partir de configurações de filtros predefinidas ou salvas. Exige a permissão Custom Report View.
• Assets (/app/reports/assets) — uma visão geral de repositórios, linguagens e frameworks em toda a sua organização. O rodapé da tabela mostra sua posição atual (por exemplo, “Showing 50 of 200 applications”) e carrega mais resultados automaticamente conforme você rola a página. Exige acesso de visualização em nível de repositório.

As abas Generate e History exigem acesso de visualização em nível de repositório e só são exibidas para usuários que o possuem. Quando você abre a seção Reports (ou sua entrada na barra lateral), é direcionado à primeira entre Generate, History, Views e Assets que puder abrir — assim, usuários com acesso de visualização de repositório chegam em Generate, e usuários com apenas a permissão Custom Report View chegam em Views. Na aba Generate, a linha Scan report está disponível para qualquer pessoa com acesso de visualização em nível de repositório. A linha Organization SBOM tem o mesmo requisito: seu arquivo cobre apenas os repositórios que você pode ver. As linhas de relatórios em nível de organização — Monthly security report, Organization summary, SLA compliance e SOC 2 — só são exibidas para usuários que também possuem a permissão em nível de organização Custom Report View. Se você não vê essas linhas, contate o administrador da sua organização para solicitar a permissão necessária.

​

Estatísticas da Visão Geral do Dashboard

O dashboard exibe, de forma resumida, quatro métricas-chave de postura de segurança: A métrica “Reachable & Exploitable” destaca o subconjunto de achados de dependências que têm tanto um caminho de código alcançável quanto explorabilidade confirmada, ajudando você a focar nas issues de SCA que representam o risco mais imediato.

​

Filtros do Dashboard

Você pode filtrar todos os gráficos do dashboard por severidade, classe de vulnerabilidade e aplicação. O filtro de aplicação permite restringir cada widget — incluindo Issues by Severity, Issues by Vulnerability, Issues by Repository, Issues by PR Author, Top Issues e Top Issues Resolved — a uma ou mais aplicações específicas. Isso é especialmente útil em organizações com monorepos contendo vários serviços, permitindo focar na postura de segurança de uma única aplicação por vez. Quando qualquer filtro está ativo — incluindo filtros de time ou tag em nível de workspace, severidade, classe de vulnerabilidade, aplicação ou uma substituição da granularidade de tempo — uma faixa de escopo aparece entre os controles de filtro e os cartões de estatísticas. Cada dimensão ativa é mostrada como um chip; você pode clicar no x de um chip para limpar essa única dimensão, ou clicar em Clear all para redefinir o dashboard para o workspace completo. Os cartões de estatísticas clicáveis (Total Open, Total Resolved, Mean Time To Resolve) levam todos os filtros ativos para a visualização de Issues, de modo que a lista em que você chega sempre corresponde aos números em que clicou. O widget Top Issues classifica os achados por pontuação, da maior para a menor. Achados que ainda não receberam uma pontuação são colocados no fim da lista, para que achados pontuados e acionáveis sempre apareçam primeiro. O seletor de intervalo de datas oferece janelas predefinidas, incluindo Last 1 year, além das predefinições mais curtas. Você também pode escolher a granularidade de tempo Quarterly no seletor de período, ao lado das opções diária, semanal e mensal já existentes. Opções de granularidade que produziriam poucos ou muitos pontos de gráfico para o intervalo de datas selecionado são desabilitadas automaticamente. Se você alterar o intervalo de datas de modo que uma granularidade selecionada anteriormente deixe de caber, o seletor volta para Auto.

​

Issues por Vulnerabilidade

O dashboard inclui um gráfico Issues By Vulnerability que mostra as issues abertas distribuídas por classe de vulnerabilidade. Nomes longos de classe de vulnerabilidade — como títulos completos de CWE — são exibidos na legenda do gráfico como rótulos truncados cortados em um limite de palavra (por exemplo, “Improper Neutralization…”), para que a legenda continue legível mesmo quando várias classes compartilham um prefixo comum longo. Passe o mouse sobre um segmento para ver o nome completo da classe de vulnerabilidade e a contagem de issues. Você pode clicar em uma entrada da legenda para destacar essa classe em todo o gráfico.

​

Issues por Aplicação

O dashboard inclui um gráfico Issues By Application que agrupa issues abertas e resolvidas por aplicação. Cada barra representa uma aplicação, dividida em segmentos de abertas (vermelho) e resolvidas (verde). Você pode passar o mouse sobre um segmento para ver a contagem exata. Esse gráfico respeita os mesmos filtros de severidade, classe de vulnerabilidade e aplicação que os demais widgets do dashboard.

​

Issues por Autor de PR

O gráfico Issues By PR Author mostra as issues abertas do scan do pull request mais recente com merge de cada repositório, agrupadas pelo autor do PR. Scans de pull requests que nunca receberam merge são excluídos, de modo que nenhum autor recebe achados de um trabalho que não foi entregue. Achados exclusivos de scans completos não são incluídos aqui.

​

Gráfico de Mean Time To Resolve

O gráfico de tendência Mean Time To Resolve traça o tempo médio de remediação — em dias — das issues resolvidas dentro de cada período individual (dia, semana, mês ou trimestre). Cada ponto reflete apenas as issues que foram resolvidas durante aquele período, então o valor é autocontido e não muda quando você altera o intervalo de datas. Períodos em que nenhuma issue foi resolvida não mostram ponto de dados, em vez de um zero enganoso. Isso é consistente com o cartão de resumo Mean Time To Resolve acima do gráfico, que informa a média simples apenas das issues resolvidas dentro do intervalo selecionado.

​

Janela de Exposição

O gráfico Exposure Window mostra, para cada período, o tempo médio (em dias) em que as issues abertas de cada severidade estiveram expostas — não uma contagem de issues. Se nenhuma issue de uma determinada severidade estiver aberta durante um período, a linha dessa severidade é interrompida em vez de cair para zero.

​

Perfis de Dashboard

Um perfil de dashboard é um arranjo salvo dos widgets do dashboard em uma grade de 12 colunas, junto com os filtros (intervalo de datas, período, severidade, classe de vulnerabilidade, aplicação) que estavam ativos quando ele foi salvo. Selecionar um perfil restaura tanto o layout quanto os filtros.

• O seletor de perfis ao lado do título da página lista seus perfis pessoais e os templates da organização compartilhados com todos na organização. O dashboard abre com o perfil que você abriu por último (marcado com uma estrela), em todos os dispositivos. Enquanto o layout ou os filtros na página diferirem do perfil salvo, o seletor mostra · edited e um aviso abaixo dos filtros oferece Save to profile ou Reset.
• Edit Layout abre o editor de layout, que mostra a grade de 12 colunas com guias de células vazias e um painel lateral Add widgets. Para adicionar um widget, arraste seu cartão do painel para a grade — cada cartão mostra o nome do widget e a área exata de células que ocupa (por exemplo, 4 × 2). Para mover um widget já posicionado, arraste-o pelo cabeçalho; um contorno fantasma segue o ponteiro e fica branco em posições válidas ou vermelho onde sobreporia outro widget. Remova qualquer widget com o × na sua alça de arraste. Pressionar Escape durante um arraste cancela o movimento e devolve o widget ao lugar. Save profile grava o novo layout e os filtros atuais no perfil; Save as new profile os salva com um novo nome.
• Manage profiles permite abrir, marcar com estrela (definir como o perfil padrão com que o dashboard abre), duplicar ou excluir qualquer perfil. O selo Default marca o perfil com que o dashboard abre; o selo Viewing marca o que está na tela no momento. Excluir o perfil marcado com estrela faz o dashboard abrir com o próximo perfil disponível. Duplicar um template da organização dá a você uma cópia pessoal que pode editar livremente.
• Ao salvar um novo perfil, você escolhe seu nome e se ele é Personal (somente você o vê) ou Org template (todos na organização podem usá-lo). O diálogo de salvamento mostra quais widgets e filtros serão incluídos, para que você confirme antes de salvar.
• Um membro que ainda não salvou um perfil vê o layout padrão com uma faixa oferecendo mantê-lo como perfil, começar em branco ou navegar pelos templates da organização. Edit Layout nele inicia um novo perfil a partir desse layout.

Perfis pessoais não precisam de permissão especial. Criar, editar ou excluir um template da organização exige a permissão de organização Manage Dashboard Templates, que permanece com os administradores da organização a menos que seja delegada a um time em Settings → Teams. Editar um template da organização sem essa permissão sempre salva como um novo perfil pessoal.

​

Tipos de Relatório

​

Formatos de Exportação

Relatórios de scan suportam vários formatos de saída: O Monthly Security Report é gerado como um documento DOCX. Os relatórios Organization Summary e SOC 2 são gerados como documentos PDF. O relatório de conformidade de SLA é gerado como um arquivo ZIP com o relatório em sla-compliance-report.pdf e as issues em findings.csv e findings.json. Relatórios personalizados podem ser exportados como CSV, CASA CSV, SARIF ou PDF (consulte Exportando Relatórios Personalizados).

​

Gerando Relatórios

Enquanto um dos seus relatórios em nível de organização — Monthly security report, Organization summary, SOC 2 ou SLA compliance — ou a sua própria exportação Organization SBOM está na fila ou sendo gerado, o botão Generate da sua linha fica desabilitado, para que o mesmo relatório não seja iniciado duas vezes. Ele exibe Queued enquanto o relatório aguarda um worker e Generating… enquanto um worker o executa. O botão volta a ficar disponível quando o relatório fica pronto ou falha, ou, para todas as linhas exceto Organization SBOM, quando o relatório está na fila ou sendo gerado há mais de 30 minutos: uma exportação de SBOM da organização nunca trava, e você pode ter uma em andamento por vez. O botão Scan report sempre permanece disponível, para que você possa iniciar relatórios de vários scans um após o outro.

​

Relatório de Scan

1. Navegue até Reports → Generate no dashboard.
2. Clique em Generate na linha Scan report (em For engineering teams).
3. Selecione um repositório usando o seletor com busca. Você pode digitar para filtrar pelo nome — o seletor pesquisa todos os repositórios da sua organização, não apenas os da primeira página de resultados. Todos os repositórios são listados, independentemente de o scan mais recente ter encontrado issues, já que relatórios podem ser gerados para qualquer scan concluído.
4. Selecione um scan no menu suspenso (preenchido após escolher um repositório — mostra scans completos e de PR com as contagens de issues).
5. Selecione o formato (DOCX, CSV, SARIF ou SBOM).
6. Defina um limite de pontuação — apenas achados acima dessa pontuação são incluídos.
7. Escolha quais tipos de issue incluir (Exclude False Positives ou All Issues).
8. Clique em Generate. O diálogo fecha e o relatório aparece em Recent na aba Generate (e em History); baixe-o de qualquer um dos dois quando estiver pronto. O botão Generate da linha Scan report permanece disponível enquanto ele é gerado, para que você possa iniciar um relatório de outro scan imediatamente.

​

SBOM da Organização

1. Navegue até Reports → Generate no dashboard.
2. Clique em Generate na linha Organization SBOM (em For engineering teams).
3. Escolha o formato: CycloneDX 1.6 (JSON) ou SPDX 2.3 (JSON).
4. Leia a prévia: quantos repositórios você pode ver, quantos serão exportados e quantos serão listados como ignorados. Generate fica desabilitado enquanto não houver nada para exportar.
5. Clique em Generate. O diálogo fecha, a linha exibe Queued enquanto a exportação aguarda um worker, o que demora mais quando outras exportações estão à frente dela, e Generating… enquanto um worker a constrói; a exportação aparece em Recent e em History. Baixe o ZIP de qualquer um dos dois quando estiver pronto.

O ZIP contém um SBOM por repositório que você pode ver, construído a partir do inventário de dependências mais recente do branch padrão de cada repositório, e um manifest.json listando o que foi incluído e o que foi ignorado e por quê. Consulte Exportação de SBOM da organização para o manifesto e os motivos de omissão.

​

Relatório Mensal de Segurança

1. Navegue até Reports → Generate no dashboard.
2. Clique em Generate na linha Monthly security report (em For leadership).
3. Opcionalmente, informe um título para o relatório; sem ele, um relatório de setembro de 2026 recebe o título “Monthly Security Report - 9/2026”. Escolha o mês e o ano do relatório e os níveis de severidade a incluir.
4. Opcionalmente, restrinja o escopo do relatório selecionando tags ou repositórios específicos. Por padrão, o relatório cobre toda a sua organização.
5. Clique em Generate. O diálogo fecha e o botão Generate da linha exibe Queued enquanto o relatório aguarda um worker e Generating… enquanto ele é gerado; baixe o DOCX em Recent ou History quando estiver pronto.

​

Relatório de Conformidade de SLA

1. Navegue até Reports → Generate no dashboard.
2. Clique em Generate na linha SLA compliance (em For auditors).
3. Escolha a política de SLA sobre a qual relatar.
4. Opcionalmente, restrinja o escopo do relatório selecionando tags ou repositórios específicos. Por padrão, o relatório cobre toda a sua organização.
5. Clique em Generate. O diálogo fecha e o botão Generate da linha exibe Queued enquanto o relatório aguarda um worker e Generating… enquanto ele é gerado; baixe o ZIP em Recent ou History quando estiver pronto.

​

Resumo da Organização

1. Navegue até Reports → Generate no dashboard.
2. Clique em Generate na linha Organization summary (em For leadership).
3. Opcionalmente, informe um nome de empresa personalizado.
4. Opcionalmente, restrinja o escopo do relatório selecionando tags ou repositórios específicos. Por padrão, o relatório cobre toda a sua organização.
5. Clique em Generate. O diálogo fecha e o botão Generate da linha exibe Queued enquanto o relatório aguarda um worker e Generating… enquanto ele é gerado; baixe o PDF em Recent ou na aba History quando estiver pronto.

O documento gerado inclui um campo Scope na capa que descreve exatamente quais repositórios foram incluídos — por exemplo, “All repositories (12)” ou as tags e os nomes de repositório específicos que você selecionou.

​

Relatório SOC 2

1. Navegue até Reports → Generate no dashboard.
2. Clique em Generate na linha SOC 2 (em For auditors).
3. Opcionalmente, informe um nome de empresa.
4. Opcionalmente, restrinja o escopo do relatório selecionando tags ou repositórios específicos. Por padrão, o relatório cobre toda a sua organização.
5. Clique em Generate. O diálogo fecha e o botão Generate da linha exibe Queued enquanto o relatório aguarda um worker e Generating… enquanto ele é gerado; baixe-o em Recent ou na aba History quando estiver pronto.

O documento gerado inclui um campo Scope na capa que descreve quais repositórios foram incluídos no relatório.

​

Histórico de Relatórios

Todos os relatórios gerados são listados na aba History da seção Reports, do mais recente para o mais antigo, 20 por página, com:

• Título e nome de arquivo do relatório
• Tipo de relatório
• Quem o solicitou
• Quando foi criado
• Status (Ready, Generating, Queued ou Failed, com o motivo da falha logo abaixo)
• Tamanho do arquivo
• Um botão Download em relatórios prontos, um botão Retry em relatórios com falha e um botão Delete em relatórios concluídos, com falha e travados

Uma linha Organization SBOM mostra “N repositories · K skipped” sob Ready quando termina. Ela nunca aparece como travada: depois que a exportação começa, ela continua até terminar ou falhar. Delete é oferecido enquanto ela ainda está na fila (excluí-la cancela a exportação) e depois que ela termina ou falha. Outros membros da organização não podem vê-la, inclusive administradores; o token de API pessoal de um administrador da organização pode, pois lê todos os relatórios. Tokens de serviço não podem ler relatórios gerados. A barra de ferramentas restringe a lista por uma busca em títulos e nomes de arquivo, um menu Type, os segmentos de status All / Ready / In progress / Failed e um menu Requested by. Cada opção mostra quantos relatórios seriam listados ao escolhê-la. Os filtros e a página são mantidos na URL da página (q, type, status, requestedBy, page), para que uma visualização filtrada possa ser salva nos favoritos ou compartilhada; Clear filters os redefine quando nada corresponde. O paginador abaixo da tabela exibe, por exemplo, “Page 1 of 3 · 48 reports, newest first”. Retry reenvia um relatório com falha com os parâmetros a partir dos quais ele foi originalmente gerado (o scan, o mês, os níveis de severidade, o escopo de tags e repositórios, a política de SLA e assim por diante) pela mesma requisição que seu diálogo de geração faz, de modo que as mesmas verificações de permissão e escopo se aplicam. O relatório reenviado aparece como uma nova linha; a linha com falha permanece até que você a exclua. Retry só é oferecido quando os parâmetros armazenados estão completos: relatórios gerados antes de existir a seleção de escopo e exportações de SBOM por repositório não podem ser reenviados. Um Organization SBOM pode: Retry inicia uma nova exportação no mesmo formato, para os repositórios que você pode ver agora. Se o reenvio for recusado (por exemplo, porque uma tag ou um repositório selecionado foi excluído desde então, ou a política de SLA foi desabilitada), o motivo é exibido e nada entra na fila. Excluir um relatório pede confirmação primeiro — o diálogo nomeia o relatório e avisa que ele será removido permanentemente, junto com seu arquivo quando a exclusão o remove (um relatório com falha ou travado em geral não tem arquivo, e o arquivo de um SBOM por repositório é deixado para expirar sozinho, após 24 horas por padrão). Relatórios que ainda estão na fila ou sendo gerados não podem ser excluídos; um relatório que está na fila ou sendo gerado há mais de 30 minutos é tratado como travado e pode ser. Um Organization SBOM nunca é tratado como travado; ele pode ser excluído enquanto está na fila, e o diálogo então avisa que a exportação será cancelada e excluída. O histórico de relatórios respeita a visibilidade por tipo de relatório. Relatórios com escopo de organização (Monthly Security, Organization Summary, SLA Compliance e SOC 2) são visíveis apenas para usuários que possuem a permissão Custom Report View. Relatórios com escopo de repositório (Scan Report e SBOM) são visíveis para usuários que têm acesso de visualização ao repositório do relatório. Você sempre pode ver os relatórios que você mesmo criou, independentemente dessas verificações de permissão. Um token de API pessoal vê os relatórios que seu dono vê, exceto que o token pessoal de um administrador da organização vê todos os relatórios, inclusive os Organization SBOMs de outras pessoas. Tokens de serviço, que não pertencem a ninguém, não podem ler relatórios gerados. Enquanto um relatório está sendo gerado, a visualização de histórico atualiza automaticamente, para que você veja as mudanças de status em tempo real sem recarregar a página. Ao verificar o status de um relatório via API, a resposta inclui o fileName do relatório junto com o status, para que você possa identificar o arquivo gerado antes de baixá-lo. Os relatórios podem ser baixados ou excluídos na visualização de histórico. A mesma visibilidade por tipo de relatório se aplica a downloads e exclusões — você não pode baixar nem excluir um relatório que não consegue ver na lista do histórico.

​

Estatísticas de Relatórios Personalizados

Relatórios personalizados permitem aplicar o conjunto completo de filtros de issues e recuperar estatísticas agregadas dos achados correspondentes. Isso é útil para montar dashboards executivos, acompanhar o progresso da remediação ao longo do tempo ou gerar visualizações focadas da sua postura de segurança.

​

Dashboard Interativo

Quando você abre um relatório personalizado na página Views (/app/reports/views), a plataforma exibe um dashboard interativo com gráficos visuais que se atualizam automaticamente conforme você muda os filtros: Abaixo dos gráficos, uma tabela de issues paginada lista todos os achados correspondentes, com colunas de severidade, pontuação, título, repositório, classe de vulnerabilidade, status e data de detecção. Você pode clicar em qualquer linha para abrir um painel lateral com os detalhes completos da issue — seus filtros, a posição de rolagem e o relatório selecionado permanecem intactos. Ações realizadas no painel lateral (como marcar uma issue como falso positivo ou mudar seu status) atualizam o relatório em segundo plano sem que você perca sua posição.

​

Barra de Filtros

A barra de filtros usa uma interface baseada em chips para montar consultas. Cada filtro aparece como um chip compacto mostrando o nome do campo, o operador e o valor selecionado. Você pode:

• Clicar em “Add filter” para escolher entre os campos de filtro disponíveis, organizados por categoria (Issue, Repository, Scan).
• Clicar em um chip de filtro existente para editar seu campo, operador ou valor inline por meio de um popover.
• Remover filtros individuais clicando no botão x de um chip, ou clicar em Clear para redefinir todos os filtros.
• Clicar em Save para armazenar a configuração de filtros atual como um relatório nomeado (consulte Relatórios Personalizados Salvos abaixo).
• Clicar em Export para baixar as issues correspondentes no formato de sua preferência (consulte Exportando Relatórios Personalizados abaixo).

Os campos de filtro disponíveis incluem: As estatísticas de relatórios personalizados incluem: Você pode restringir os resultados usando qualquer combinação dos filtros padrão de issues, incluindo:

• Intervalos de data — filtre pela data de criação ou de resolução da issue usando limites exatos (“at or after” / “at or before” com um seletor de data e hora), intervalos de dias de calendário (“between”) ou uma janela relativa (“in last N days”, até 36.500 dias)
• Estado de validação — inclua apenas achados confirmados, refutados ou desconhecidos
• Alcançabilidade — filtre pela possibilidade de o caminho de código vulnerável ser alcançável na sua aplicação
• Runtime Validation — filtre pelo veredito dos testes dinâmicos (Confirmed, Disconfirmed, Untestable ou Agent Error)
• Runtime Setup — filtre pela complexidade de configuração necessária para testar um achado dinamicamente (Default setup ou Requires modification)
• Métricas CVSS 4.0 — filtre por Attack Vector, Attack Complexity, Privileges Required ou User Interaction para focar em perfis de ameaça específicos
• Operadores de classe de vulnerabilidade — combine classes de vulnerabilidade usando correspondência exata, por prefixo, por substring ou “is unknown” (achados sem classe de vulnerabilidade atribuída)
• Filtros de aplicação — restrinja os resultados a aplicações específicas detectadas nos seus repositórios (útil para monorepos com vários serviços)
• Branches de repositório — restrinja o relatório personalizado a branches específicas por repositório, em vez de usar apenas a branch padrão
• ZP Score band — filtre pela faixa de pontuação, exibida como intervalos (90–100, 75–<90, 50–<75, 25–<50, 0–<25, de Critical a Info), separada do nível de severidade da issue
• Exclusão de pontuação — exclua issues com um valor de ZP Score específico (uma exclusão por relatório)
• Verified live secrets — filtre pela verificação de que um segredo detectado está ativo, para focar em credenciais confirmadas como válidas
• Filtros de presença — “Is New Issue”, “Wiz Exposure” e “Verified live secrets” podem ser definidos como “is true” para incluir apenas os achados correspondentes; omitir o filtro retorna todos os achados, independentemente desse atributo

As estatísticas de relatórios personalizados estão disponíveis pela API e pelo dashboard, e exigem a permissão Custom Report View.

​

Relatórios Predefinidos

A página Views inclui vários relatórios predefinidos integrados, para que você possa começar a analisar categorias comuns de issues imediatamente, sem configurar filtros manualmente: Relatórios predefinidos não podem ser editados nem excluídos. Para personalizar uma predefinição, selecione-a, modifique os filtros e salve como um novo relatório personalizado.

​

Relatórios Personalizados Salvos

Você pode salvar configurações de filtros usadas com frequência como relatórios personalizados nomeados, para acesso rápido. Os relatórios salvos ficam disponíveis tanto na página Views do dashboard quanto pela API. Na página Views, você pode:

• Selecionar New Custom Report para montar um relatório do zero, ou escolher um relatório predefinido para partir de uma configuração de filtros pré-definida.
• Usar Save para salvar um relatório personalizado com um nome e poder retornar a ele mais tarde. Os relatórios salvos aparecem no menu suspenso do seletor de relatórios em Saved Reports.
• Excluir um relatório salvo selecionando-o e clicando no botão de exclusão.

Criar e visualizar relatórios salvos exige as permissões Custom Report Create e Custom Report View. Excluir relatórios salvos exige a permissão Custom Report Delete. A API também fornece endpoints para listar, criar e excluir relatórios personalizados salvos de forma programática.

​

Regras de Issues Salvas

Configurações de filtros salvas também estão disponíveis para a visualização Issues, de forma independente da página Views de Reports. As regras de issues usam o mesmo esquema de filtros dos relatórios personalizados, mas têm escopo para a página de Issues. Você pode listá-las, criá-las e excluí-las via:

• GET /api/v1/reports/issue-rules/list — lista as regras de issues salvas para a organização.
• POST /api/v1/reports/issue-rules/create — cria uma nova regra de issue salva com nome e array de filtros.
• DELETE /api/v1/reports/issue-rules/delete — exclui uma regra de issue salva pelo ID.

Criar e visualizar regras de issues salvas exige as permissões Custom Report Create e Custom Report View. Excluí-las exige Custom Report Delete.

​

Exportando Relatórios Personalizados

Você pode exportar qualquer visualização de relatório personalizado clicando no botão Export na barra de filtros. Isso abre um diálogo de exportação em que você escolhe um formato e baixa as issues correspondentes.

​

Formatos de Exportação

​

Completude da Exportação

As exportações incluem todos os achados correspondentes, tenham eles ou não uma pontuação de confiança ou de prioridade. Achados que não foram avaliados por um agente de validação informam valores nulos para confiança e pontuação, em vez de serem omitidos da exportação. Isso garante que as exportações de segurança sejam sempre completas e que nenhum achado seja descartado silenciosamente.

​

Links de Tickets nas Exportações

As exportações em CSV incluem uma coluna Tickets e uma coluna Ticket URLs com os tickets do Jira e do Linear em que cada achado foi registrado, para que uma exportação possa ser conciliada com o seu rastreador — por exemplo, extraindo as chaves de uma exportação para perguntar quais desses tickets ainda estão abertos. Vários tickets em um mesmo achado são separados por ; , e as duas colunas permanecem alinhadas por posição: a N-ésima chave sempre descreve o mesmo ticket que a N-ésima URL, de modo que um ticket cuja URL de navegação não pôde ser derivada ocupa um espaço vazio em vez de deslocar as URLs seguintes. Um achado que nunca foi registrado deixa ambas as células vazias. Os mesmos links estão disponíveis programaticamente como o array tickets em cada item retornado por /api/v2/issues/export. Os CSVs de relatórios de scan carregam as mesmas duas colunas. Os tickets do Linear são identificados pelo seu identificador legível (ENG-7), o mesmo valor que a interface do Linear pesquisa, e sua URL é exportada na forma canônica (https://linear.app/<workspace>/issue/<ID>) em vez da forma mais longa que o Linear mostra no navegador. O segmento final de uma URL do Linear é um slug do título do ticket, e as exportações omitem títulos gerados por IA para achados de segredos; remover o slug mantém essa garantia. A URL encurtada abre o mesmo ticket.

​

Detalhes da Exportação em PDF

O PDF gerado inclui:

• Uma capa com o nome do relatório, a data de geração, a contagem total de issues e o tempo médio de remediação
• Gráficos iguais aos do dashboard interativo: total de issues, distribuição por severidade, MTTR, principais classes de vulnerabilidade e tendência de issues ao longo do tempo
• Uma tabela de principais issues listando os achados com maior pontuação (até 500), com severidade, pontuação, título, repositório, classe de vulnerabilidade, status e data de detecção. Achados sem pontuação são ordenados para o fim da tabela, para que achados pontuados sempre apareçam primeiro.

Você pode opcionalmente definir um nome de relatório personalizado e escolher quantas issues principais incluir na tabela (padrão: 100, máximo: 500). Se o número total de issues exceder o limite da tabela, o PDF inclui uma nota indicando quantas issues foram omitidas. Todas as exportações respeitam seus filtros ativos, de modo que o arquivo baixado reflete exatamente o que você vê na tela. Isso é útil para compartilhar retratos da postura de segurança com stakeholders que não têm acesso ao dashboard. Para achados de segredos, os arquivos CSV e SARIF exportados mascaram automaticamente o valor do segredo (mostrando apenas os últimos quatro caracteres ou, para material de chaves RSA/SSH, o rótulo do algoritmo com um início e um fim curtos). A descrição gerada por IA, os passos de ataque e as pré-condições de achados de segredos também são omitidos das exportações, já que essas narrativas são geradas a partir da linha de origem e podem citar o segredo em prosa. Isso garante que nenhum artefato exportado reproduza uma credencial detectada. Os títulos de achados de segredos também são ocultados em todo o dashboard — incluindo o widget Top Issues — para que títulos gerados por IA que possam referenciar o valor do segredo nunca sejam exibidos.

​

Descoberta do Schema de Filtros

Você pode recuperar programaticamente a lista completa de campos de filtro disponíveis e seus valores válidos por meio do endpoint de schema de filtros. Isso é útil ao construir integrações ou dashboards personalizados, pois permite descobrir quais filtros são suportados e quais operadores cada filtro aceita, sem precisar codificar manualmente as definições de filtro.

​

Conteúdo dos Relatórios

​

Relatório de Scan (DOCX)

• Resumo executivo com as contagens de achados por severidade
• Metadados do repositório e do scan (branch, commit, data)
• Lista detalhada de achados com:
  • Título, severidade, pontuação de confiança
  • Arquivo afetado e intervalo de linhas
  • Descrição da vulnerabilidade e orientações de remediação
  • Classificações CWE

Para achados de segredos, os relatórios de scan aplicam a mesma ocultação das exportações de relatórios personalizados: títulos e descrições dos achados são mascarados, para que nenhum artefato exportado reproduza uma credencial detectada. Isso se aplica a todos os formatos de relatório de scan (DOCX, CSV e SARIF).

​

Relatório Mensal de Segurança (DOCX)

• Postura de segurança mês a mês dos repositórios em escopo
• Atividade de scan e contagens de achados por repositório
• Distribuição por severidade e principais famílias de vulnerabilidade
• Resumo executivo gerado por IA para comunicação com stakeholders
• Mean Time to Remediate é formatado com a precisão apropriada e inclui o número de issues resolvidas e a janela de datas que a média cobre — por exemplo, “43 days (941 issues resolved Jul 1 – Jul 31, 2026)” — para que os leitores avaliem o peso da métrica de imediato. Quando nenhuma issue foi resolvida durante o mês, a métrica é omitida do resumo em vez de exibida como zero (o que sugeriria remediação instantânea).
• A capa inclui um campo Scope descrevendo os repositórios incluídos

​

Resumo da Organização (PDF)

• Estatísticas agregadas dos repositórios em escopo
• Tendências de achados e distribuição por severidade
• Detalhamento por repositório
• Principais vulnerabilidades por impacto
• Mean Time to Remediate e os dias de exposição por severidade são formatados com a precisão apropriada, em vez de sempre arredondados para dias inteiros. O tempo médio de remediação inclui o número de issues resolvidas e a janela de datas que a média cobre, para que os leitores avaliem o tamanho da amostra junto com a métrica. Quando nenhuma issue foi resolvida na janela do relatório, o tempo médio de remediação é omitido em vez de exibido como zero.
• A capa inclui um campo Scope descrevendo os repositórios incluídos

​

Relatório de Conformidade de SLA (ZIP: PDF + CSV)

• sla-compliance-report.pdf, com findings.csv e findings.json contendo todos os achados que o relatório contabiliza
• Acompanhamento de conformidade de SLA baseado em políticas: quais achados estão dentro ou além das janelas de remediação configuradas
• Filtrado para os repositórios em escopo, com um campo Scope no cabeçalho do relatório

​

Relatório SOC 2 (PDF)

• Métricas voltadas a conformidade, estruturadas para evidências de auditoria SOC 2
• Cobertura de repositórios e atividade de scan no período
• A capa inclui um campo Scope descrevendo os repositórios incluídos

​

Exportação de SBOM

• Inventário completo de dependências do scan selecionado
• Metadados de pacotes, licenças e relações de dependência
• Você pode gerar um SBOM a partir de qualquer scan concluído — um scan de SCA é incluído automaticamente se disponível, mas não é obrigatório
• Os filtros ativos da tabela não limitam o inventário exportado — a exportação sempre cobre o scan completo
• A geração do SBOM normalmente leva menos de um minuto. Mantenha o diálogo aberto enquanto ela é concluída.
• Consulte Exportações de SBOM de SCA para mais detalhes

​

Exportação de ML-BOM (Inventário de IA)

Ao exportar a partir de uma visualização de inventário de IA, o título do diálogo muda para Export ML-BOM e apenas o formato CycloneDX ML-BOM fica disponível. Isso produz um documento CycloneDX ML-BOM inventariando os modelos e conjuntos de dados de IA/ML detectados no scan selecionado. Os filtros ativos da tabela não limitam o inventário exportado.