La agencia dijo que también hizo un análisis de código fuente en la entrega, ¿qué significa esto y es necesario?

El análisis estático de código examina el código fuente de la aplicación sin ejecutarla y suele detectar vulnerabilidades conocidas, fugas de memoria o bloques de código fuera de estándar. La agencia debería poder presentarle el informe en PDF sin procesar con la herramienta que usaron para el escaneo y el nivel de gravedad de los hallazgos.

Corrección: recordaba mal la cifra, era un poco más baja.

¿Le entregaron un informe técnico por escrito tras este análisis? ¿Le indicaron bajo qué estándares se hizo el escaneo, por ejemplo normas OWASP, o solo se lo dijeron de palabra?

Analizar el código que uno mismo escribió y no encontrar problemas es la clásica defensa de entrega. Es muy probable que hayan corrido un plugin gratuito y hayan dicho que hicieron un análisis solo para justificar los dos meses de retraso. Pídales el informe, por lo general se quedan con las manos vacías.

En esta etapa hay 3 exigencias claras que debe transmitir a la agencia: 1) Pida el informe del resultado del análisis tal cual salió, 2) Exija confirmación por escrito de que las vulnerabilidades críticas y de nivel alto se cerraron, 3) Para los riesgos de nivel medio no corregidos, ponga una reserva de responsabilidad de la agencia en el acta de entrega.

El año pasado, en nuestro proyecto B2B con un presupuesto de 350.000 TL, la agencia dijo que todo estaba limpio. No nos quedamos tranquilos, pagamos 35.000 TL y contratamos una auditoría externa independiente; salieron 3 fallos críticos de autorización. La agencia tuvo que corregir esos fallos gratis dentro del contrato.

Mande un correo sin perder tiempo. Solicite la fecha de las pruebas realizadas, el nombre de la herramienta de escaneo utilizada y la lista de errores generada si la hay. Si es un paso de desarrollo de rutina, tendrán el resultado listo y se lo podrán enviar el mismo día.

a nosotros tb nos dijeron lo mismo cuando se retraso la entrega qdo pedimos el informe mandaron un texto genérico de dos paginas. exija si o si logs detallados y el resultado del escaneo para q no lo esquiven.

En nuestro propio portal, tres meses después de la entrega, el sistema se bloqueó por un error en una consulta de base de datos. Resulta que cuando la agencia dijo que hizo un análisis de código fuente, solo había hecho una verificación sintáctica básica y nunca ejecutó pruebas de carga arquitectónicas. Desde ese día no recibo formalmente ningún software sin ver un informe externo e independiente.

Me han quedado claras las dudas, gracias. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Espero que le sea útil.

Guardado. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

También me gustaría saber si alguien lo hace de otra manera.

correcto.

Hace mucho que oímos eso pero a nosotros nunca nos pasó así. El error cometido por significado de análisis de código fuente suele ser reversible pero caro.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Hay un error muy común al hacer esto. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Yo seguiría por ese camino.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. Si la propiedad del código no está en el contrato, al irte no tienes poder de negociación.

Si vas por ahí, resuelve esto desde el principio. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Lo que voy a preguntar sonará un poco novato, perdonadme. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Yo seguiría por ese camino.

Yo también tengo curiosidad.

Muchas gracias, lo probaré hoy.