Agentur übergibt Quellcode — gibt es ein Tool, mit dem ich vor der Abnahme die Qualität prüfen kann?

Automatisierte Tools machen statische Code-Analyse (SAST). Die finden sofort SQL-Injections, offen im Code liegende API-Keys oder unsaubere Funktionsstrukturen. Die drei wichtigsten Werte für den Anfang: 'Kritische Sicherheitsfehler', 'Code-Duplizierungsrate' (alles unter 5 Prozent ist völlig im Rahmen) und 'Unit-Test-Abdeckung'.

Das Tool sagt dir zwar, ob der Code sauber formatiert ist, aber nicht, ob das Portal die Mehrwertsteuer bei einer Bestellung richtig berechnet. Ich habe schon Software gesehen, die durch jeden statischen Scan mit Bestnoten kam und am ersten Tag im Live-Betrieb falsche Beträge verbucht hat. Verlass dich nicht blind auf Automatismen, manuelle Szenariotests sind Pflicht.

Wir haben bei einem individuellen CRM-Projekt für 15.000 Euro einen unabhängigen Experten draufschauen lassen, hat uns 600 Euro gekostet. Der hat direkt eine veraltete PHP-Bibliothek und vier Abfragen gefunden, die unter Last die Datenbank lahmgelegt hätten. Die Agentur hat das anstandslos behoben. Die 600 Euro haben uns später locker 3.000 Euro an teuren Nachbesserungen erspart.

Schau unbedingt in den Vertrag. Gibt es eine 30- oder 60-tägige Gewährleistung bzw. Nachbesserungsfrist nach Abnahme? Wenn du der Agentur den Prüfbericht vorlegst, im Vertrag aber keine konkreten Qualitätsstandards vereinbart wurden, stellen die sich schnell auf den Standpunkt: 'Der Code läuft doch.'

Versuch gar nicht erst wie ein IT-Profi aufzutreten, sei einfach offen. Sag der Agentur: 'Unser interner Ablauf sieht vor dass wir den Code vor Abnahme durch ein statisches Analysetool prüfen und den Bericht ans Abnahmeprotokoll anhängen.' Allein dieser Satz bewirkt oft Wunder und sorgt dafür, dass sie vorher selbst nochmal gründlich aufräumen.

Erkennen solche Tools eigentlich auch Schadsoftware oder versteckte Backdoors im Code? Und lässt sich damit herausfinden, ob die Agentur das wirklich selbst geschrieben oder nur irgendwo aus dem Netz zusammenkopiert hat?

Ergänzung: Wurde unten schon gefragt, die Antwort habe ich im zweiten Beitrag geschrieben.

Drei Dinge, die du bei der Übergabe unbedingt schriftlich anfordern solltest: 1) Eine vollständige Installations- und Betriebsanleitung, 2) Eine Lizenzübersicht aller genutzten Open-Source-Bibliotheken (müssen für kommerzielle Nutzung freigegeben sein), 3) Deployment-Skripte, mit denen sich das System in einer frischen Umgebung komplett neu aufsetzen lässt.

Ich stimme voll und ganz zu. Scheut euch nicht zu fragen wer nicht fragt zahlt am Ende mehr.

Fehler auf der Quellcode-Analysetool-Seite sind meist rückgängig zu machen aber teuer... Schreibt mir wenn ihr Fragen habt ich antworte so gut ich kann.

Das habe ich auch erlebt.

ich stimme voll und ganz zu.. dann naja fehler auf der Quellcode-Analysetool-Seite sind meist rückgängig zu machen aber teuer.

ein wöchentlicher schriftlicher Fortschrittsbericht ist viel nützlicher als ständiges Nachfragen nach dem Status. ich hoffe das hilft dir weiter.

Der am häufigsten übersehene Punkt bei Quellcode-Analysetool ist dieser: In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Das war's, entschuldige, wenn ich zu lang war.

Richtig.

Du hast recht, ich bin denselben Weg gegangen. Das günstigste Angebot ist oft das am wenigsten durchdachte.

Nur als Notiz, könnte nützlich sein.

Du hast recht, ich bin denselben Weg gegangen. Wenn im Vertrag nicht steht, wem der Code gehört, habt ihr bei der Trennung keine Verhandlungsmacht mehr.

Aus Erfahrung weiß ich das.

An diesem Punkt widerspreche ich dir. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Vielen Dank, das hat mir sehr geholfen.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

Fragt, wer das Angebot erstellt hat und wer die Arbeit ausführen wird.

Bei mir war es genau umgekehrt, deshalb schreibe ich das. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Korrigiert mich, falls ich falsch liege.