Il fix-rate è la quota di rilievi di sicurezza che i team correggono effettivamente, di solito espressa come percentuale del totale degli avvisi o dei problemi scoperti. È una metrica operativa, non solo una metrica di conteggio: uno scanner che individua molti difetti ma ne lascia irrisolti la maggior parte può essere meno utile di uno che aiuta i team a chiudere più problemi rapidamente.
Nel campo della sicurezza informatica, il fix-rate è importante perché gli attaccanti traggono vantaggio da qualsiasi debolezza che sopravvive al triage e alla remediation. I difensori lo usano per valutare se uno strumento, un flusso di lavoro o un programma di sicurezza sta producendo una reale riduzione del rischio. Nel static application security testing, ad esempio, il fix-rate può essere più significativo del semplice volume degli avvisi perché riflette la fiducia degli sviluppatori, la velocità del triage e quanto bene i risultati si inseriscono nei flussi di lavoro CI/CD e di code review. Un fix-rate elevato indica spesso risultati chiari, buona prioritizzazione e remediation senza attriti; un fix-rate basso può segnalare avvisi rumorosi, scarsa responsabilizzazione o passaggi di consegne lenti tra sicurezza e ingegneria.