الوكالة قالت عند التسليم إنها أجرت تحليلًا للشفرة المصدرية (Source Code Analysis)، فما معنى هذا وهل هو ضروري؟

تحليل الكود الساكن يفحص الشفرة المصدرية للتطبيق دون تشغيلها، ويكتشف عادةً الثغرات الأمنية المعروفة، أو تسريبات الذاكرة، أو الكتل البرمجية المخالفة للمعايير. يفترض أن تقدم لك الوكالة تقرير PDF خامًا يوضح الأداة المستخدمة في الفحص ومستوى خطورة النتائج.

تصحيح: كنت أذكر الرقم خطأً، كان أقل قليلاً.

هل سلموك تقريرًا فنيًا مكتوبًا بعد هذا التحليل؟ وهل بينوا المعايير التي تم الفحص بناءً عليها، كقواعد OWASP مثلًا، أم اكتفوا بالكلام الشفهي فقط؟

فحص الكود المكتوب ذاتيًا والادعاء بأنه خالٍ من المشاكل هو حجة تسليم كلاسيكية. من الوارد جدًا أنهم شغلوا إضافة مجانية وقالوا "أجرينا تحليلًا" لتبرير التأخير لشهرين. اطلب منهم التقرير وسترى أنهم سيقفون مكتوفي الأيدي في الغالب.

هناك 3 مطالب واضحة يجب أن تقدمها للوكالة في هذه المرحلة: 1) اطلب تقرير نتائج التحليل بصيغته الخام، 2) احصل على تأكيد كتابي بإغلاق الثغرات الحرجة وعالية الخطورة، 3) دوّن في محضر التسليم تحفظًا يحمّل الوكالة مسؤولية المخاطر المتوسطة التي لم تُعالج.

العام الماضي وفي مشروع B2B بميزانية 350.000 TL، قالت لنا الوكالة إن كل شيء سليم ونظيف. لم نرتح للأمر ودفعنا 35.000 TL لجهة تدقيق خارجية مستقلة، فظهرت 3 ثغرات صلاحيات حرجة. واضطرت الوكالة لإصلاحها مجانًا بموجب العقد.

أرسل لهم بريدًا إلكترونيًا دون تضييع وقت. اطلب تواريخ الاختبارات، واسم أداة الفحص، وقائمة الأخطاء المكتشفة إن وُجدت. إن كانت خطوة تطوير روتينية، فسيكون التقرير جاهزًا لديهم ويمكنهم إرساله في نفس اليوم.

حصل معنا نفس الشيء لما تأخر التسليم، ويوم طلبنا التقرير أرسلوا لنا ورقة عامة من صفحتين... اطلبوا سجلات مفصلة ونتائج الفحص بالضبط ولا تخلونهم يمشونها عليكم.

في بوابتنا الخاصة، تجمد النظام بعد ثلاثة أشهر من التسليم بسبب خطأ في استعلامات قاعدة البيانات. واتضح أن الوكالة عندما ادعت إجراء تحليل للشفرة المصدرية كانت تقصد مجرد فحص نحوي أساسي ولم تُجرِ أي اختبارات ضغط هيكلية إطلاقًا. ومن يومها لا أستلم أي برنامج رسميًا دون رؤية تقرير خارجي مستقل.

زالت حيرتي، شكراً لكم. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

أتمنى أن يفيدك هذا.

تم الحفظ. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

صحيح.

سمعنا هذا كثيراً، لكنه لم يحدث معنا أبداً. الخطأ المرتكب من جانب معنى تحليل الشفرة المصدرية قابل للإصلاح عادةً، لكنه مكلف.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

هناك خطأ شائع جداً يقع فيه الكثيرون أثناء فعل هذا. تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

لو كنت مكانك، لسلك هذا المسار.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. إذا لم ينص العقد على ملكية الكود، تفقد قوتك التفاوضية عند المغادرة.

إذا كنت ستسلك هذا المسار، فحل هذه المشكلة من البداية. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

سؤالي قد يبدو مبتدئاً بعض الشيء، آسف على ذلك. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

لو كنت مكانك، لسلك هذا المسار.

أنا أيضًا متحمس لمعرفة ذلك.

شكرًا جزيلاً، سأجربها اليوم.