Åtgärdsmått
Åtgärdsmåtten visar om funktionerna för triage och åtgärder gör sitt jobb för din organisation. Sidan mäter framgångsmåtten för nåbarhet och säkerhetsfixar på dina egna fynd, under de senaste 30 eller 90 dagarna, och jämför varje period med samma antal dagar närmast före.
Du hittar den under Säkerhet › Rapporter › Åtgärdsmått
(/<org>/_admin/security/reports/remediation). Ägare av organisationen och medlemmar i
organisationens Auditors-team kan öppna den. Välj Senaste 30 dagarna eller Senaste 90 dagarna högst
upp på sidan.
Varje siffra gäller bara din organisation. Inget jämförs med eller beräknas från andra organisationer.
Samma sida har kortet Bidra med anonyma siffror: ett val som du måste aktivera, avstängt som standard, som anonymt lägger till din organisations siffror i de siffror fremforge publicerar. Se Anonyma siffror.
Vad den visar
| Avsnitt | Vad det visar |
|---|---|
| Nåbarhet | Öppna fynd i beroenden per ekosystem, uppdelade efter bedömning: nåbar, ej nåbar (unreachable) och okänd. Täckning är andelen med en annan bedömning än okänd. Andel ej nåbara är andelen där motorn inte hittade någon väg från din kod till den sårbara funktionen. Målen är 60 % täckning för Go och 30 % för npm, och 30 % ej nåbara för Go. Ekosystem utan motor är markerade. |
| Trend för täckning | Täckning och andel ej nåbara per dag, från en daglig ögonblicksbild av din organisations egna fynd. Ögonblicksbilderna startade 2026-10-14, så diagrammet fylls i från dess; tills två dagar har lagrats säger panelen att den samlar in data. |
| Pull requests med säkerhetsfixar | Per motor, deterministisk (versionshöjningar av beroenden) och AI-assisterad (SAST, med din egen modellnyckel): begäranden som gjorts under perioden, pull requests som öppnats, mergats, stängts och som fortfarande väntar på granskning, och andelen mergade (mergade delat med öppnade). Målen är 70 % för deterministiska och 40 % för AI-assisterade pull requests. |
| Fynd som åtgärdats av en säkerhetsfix | Fynd som en skanning slutade rapportera efter att deras pull request med säkerhetsfix mergats, per typ och per dag. API:t returnerar också findings_fixed_by_renovate: fynd vars paket höjdes av en av hostade Renovates egna säkerhets-pull requests medan de var öppna (räknas från 2026-10-14). |
| Tid till åtgärd | Mediantalet dagar från att ett fynd med hög eller kritisk allvarlighetsgrad i ett beroende först sågs till att en skanning inte längre rapporterade det. Den här perioden mot den föregående, och inom den här perioden, åtgärdat av AutoFix mot åtgärdat på annat sätt. |
| Tid till åtgärd per typ av fynd | För beroenden, container-images, IaC, hemligheter och SAST, alla allvarlighetsgrader: mediantalet dagar till åtgärd för fynden som åtgärdats i den här perioden och i den föregående, medianerna per allvarlighetsgrad, och fynden som avfärdats i den här perioden med sin egen median. Se definitionerna nedan. |
| Tid till merge för säkerhetsfixar | Mediantalet timmar från öppnad till mergad för de pull requests med säkerhetsfixar som mergats i den här perioden och den föregående: deterministiska, AI-assisterade och hostade Renovates egna säkerhets-pull requests. Renovates pull requests räknas från den 24 oktober 2026, då tidpunkten för när de öppnades började registreras; sidan anger datumet. |
| Kända utnyttjade | Öppna fynd i beroenden och container-images vars sårbarhet listas som utnyttjad av ENISA:s EU Vulnerability Database eller CISA:s katalog Known Exploited Vulnerabilities, med länkar till de filtrerade listorna med fynd. |
| SLA-överträdelser | Per dag, fynden från alla skannrar som är öppna efter sin SLA, alla allvarlighetsgrader samt hög och kritisk, och de nya överträdelserna per dag. Totaler för den här perioden och den föregående. |
Hur siffrorna tas fram
- Unika fynd. Ett fynd i ett beroende räknas en gång per repo, paket och säkerhetsmeddelande, oavsett hur många branches eller pull requests som rapporterar det. De öppna fynden i beroenden räknas på samma sätt varje dag i trenden.
- Den dagliga ögonblicksbilden tas en gång om dagen bara för din organisation, från samma räkning som täckningssiffrorna ovan, och kombineras aldrig med andra organisationers data. Den sparas lika länge som din inställning för historik över fynd när du har angett en, annars i 18 månader, och raderas när din organisation raderas. Ett rättsligt bevarande behåller den.
- Bedömningar är inte avfärdanden. Ett fynd som inte är nåbart förblir öppet och räknas som öppet överallt. Se nåbarhet.
- Pull requests med säkerhetsfixar räknas efter det datum då rättningen begärdes. En pull request som fortfarande väntar på granskning sänker andelen mergade tills den mergas eller stängs.
- Tid till åtgärd och SLA-överträdelser kommer från historiken över fynd, som börjar när spårningen av din organisations historik startade (sidan anger datumet). Ett fynd som redan var öppet det datumet räknas från när det först lagrades.
- Vad som räknas som öppnat och åtgärdat (tid till åtgärd per typ):
- Öppnat är när fyndet först sågs på standardbranchen. Ett fynd som bara en pull request rapporterar räknas inte.
- Åtgärdat är den första skanningen som inte längre rapporterar det. För ett fynd vars skanner markerar det som löst är det exakt; annars är det den dagliga uppdateringen av historiken som först saknade det, alltså högst en dag för sent.
- Ett avfärdande är ingen åtgärd. Avfärdade fynd räknas separat, med mediantalet dagar från öppnat till avfärdat.
- Ett fynd som kommer tillbaka börjar om. Det räknas från när det dök upp igen, inte från när det först dök upp.
- IaC-fynd har en egen typ sedan den 24 oktober 2026; tidigare räknades de tillsammans med container-images. Historik från före det datumet flyttades till IaC där skannerns egen post för fyndet fortfarande finns.
- Tid till merge räknas från när pull requesten öppnades till när den mergades, för pull requests som mergats under perioden. Pull requests som fortfarande är öppna eller som stängts utan merge räknas inte.
- SLA-tidsgränser är samma faktiska tidsgränser som SLA-etiketterna och efterlevnadsrapporten, inklusive en längre SLA för fynd som inte är nåbara när din SLA-policy anger en multiplikator. Ett fynd överträder sin SLA när tidsgränsen passerar medan det varken är åtgärdat eller avfärdat.
API
Samma siffror finns i API:t med en token som har
scopet findings:read:
curl -H "Authorization: Bearer $FREMFORGE_TOKEN" \
"https://frem.sh/_app/api/v1/orgs/<org>/code-security/remediation-metrics?days=30"days är 30 (standard) eller 90. Svaret innehåller avsnitten ovan som
reachability, autofix, time_to_fix, time_to_fix_by_type, time_to_merge,
known_exploited och sla, plus
window och targets. Procentsatser är tal från 0 till 100 med en
decimal, eller null när det inte finns något att dela med. Se
OpenAPI-specifikationen för schemat.