La agencia pide dinero extra por el análisis estático de código fuente, ¿qué es esto y hace falta?

Llevo años gestionando proyectos de software y esto me suena a intento claro de sacar más caja. Los equipos modernos integran herramientas de análisis estático en sus flujos de CI y se pasa de forma automática en cada cambio. Venir a decir 'vamos a revisarlo pero pagadlo vos' antes de entregar su propio trabajo no hay por dónde cogerlo.

El análisis estático mira el árbol sintáctico del código. Encuentra fallos en consultas a bases de datos, claves de acceso expuestas o incompatibilidades de librerías sin ejecutarlo. Sirve, sí, pero es darle a un botón y sacar un PDF. Si no incluye una revisión manual, técnicamente no justifica un coste de 1.800 EUR.

Nos pasó algo parecido en Stuttgart con un portal B2B de 16.000 EUR. Nos pidieron 1.200 EUR y no pasamos por el aro. Recibimos el código, le pagamos 350 EUR a un desarrollador senior freelance para que hiciera un análisis externo y le hicimos corregir a la agencia 8 hallazgos críticos dentro de la garantía.

Tampoco os podéis fiar del informe que dé la propia agencia. Al pasar sus herramientas pueden relajar los filtros para sacar un reporte impoluto. Quien audita no puede ser el mismo que desarrolla. Si vais a gastar un presupuesto extra, no se lo deis jamás a la misma agencia.

si no hacemos este análisis para nada ¿tendremos problemas de seguridad con el sistema en marcha? la verdad o sea, ¿no hacerlo impide directamente que la web funcione o solo aplica para errores invisibles de fondo?

Abrid el contrato ya mismo y mirad la cláusula de criterios de entrega. Si pone algo como 'entrega de código seguro conforme a los estándares del sector', pedid ese informe como documento de calidad obligatorio sin pagar un duro más. Si no aceptan, no metáis más dinero y esperad a la entrega.

ni se os ocurra pagar. o sea le dan a un boton y os tiran a la cara el pdf q salga. una tirada de dinero sale mil veces mejor q lo revise alguien de fuera tras la entrega.

Según los principios del contrato de obra en el derecho contractual alemán, el contratista está obligado a entregar un producto libre de defectos. Las deficiencias que se detecten en el análisis estático son, en esencia, fallos que deben subsanarse antes de la entrega. Por ello, repercutir el coste de la auditoría al cliente es jurídicamente cuestionable.

os explico cómo se hace en la práctica luego tomar notas durante dos semanas da mejores resultados que estimar seis meses.

también me gustaría saber si alguien lo hace de otra manera.

Tiene razón. La oferta más barata suele ser la menos pensada.

Yo seguiría por ese camino.

Tema muy oportuno.

Yo también tengo curiosidad.

No te olvides de: Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde. Si escribís el resultado aquí, también servirá de ayuda a otros.

El año pasado nos pasó casi exactamente lo mismo. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Lo dejo como nota, por si sirve.

A nosotros también nos pasa.

Estoy totalmente de acuerdo. Todos los que se apresuran con análisis estático de código se atascan en el mismo punto.

Las decisiones apresuradas son las que hay que corregir seis meses después. Eso es todo, disculpa si me he extendido demasiado.

A nosotros también nos pasa. El error cometido por análisis estático de código suele ser reversible pero caro.

Esta es mi opinión no lo escribo como una verdad absoluta.

Dejo una advertencia. Si no se definen los criterios de aceptación, cuándo termina el trabajo es discutible.

No tengáis miedo de preguntar, quien no pregunta siempre paga más caro. Corrijanme si me equivoco.