# Evidence, severity, confidence

Ogni finding include ID, categoria, severita (`high`, `medium`, `low`), confidenza (`high`, `medium`, `low`), evidenza concreta, impatto, correzione richiesta o validazione necessaria.

`high` indica rischio rilevante; `medium` rischio reale e contenibile; `low` impatto materiale non bloccante. Confidenza `high` richiede evidenza diretta e riproducibile, `medium` evidenza parziale con inferenza esplicita, `low` conferma prima di azioni forti.

## Fonte web pubblica

Evidenza esterna per documentazione, standard o comportamento pubblico applicabile. Registra titolo, URL, data, tipo ufficiale/secondaria, versione o ambito, affermazione supportata e limite. Non sostituisce regole locali, requisiti o prova del runtime target.

## Evidenza calcolata

Risultato derivato da file disponibili tramite calcolo o trasformazione riproducibile in ambiente isolato. Registra file analizzati, metodo, filtri o redazioni, risultato rilevante, assunzioni, limiti e relazione con il finding. Non prova automaticamente il comportamento runtime; se non e riproducibile dai dati disponibili, non fonda un finding forte.

Separa fatto osservato, inferenza, dubbio aperto e raccomandazione. Non impiegare quantità minime di finding e non elevare preferenze stilistiche a finding senza violazione di regola locale o impatto materiale.