La agencia entrega el código: ¿hay alguna herramienta para comprobar la calidad antes de aceptar?

Las herramientas automáticas hacen análisis estático de código (SAST). Detectan al instante riesgos de inyección SQL, claves de API expuestas y estructuras de funciones fuera de estándar. Los tres primeros parámetros a revisar: 'Errores Críticos de Seguridad', 'Tasa de Código Duplicado' (menos del 5% es razonable) y 'Cobertura de Pruebas Unitarias'.

La herramienta te dirá que el código cumple las reglas, pero no sabe si el portal calcula bien el IVA al procesar un pedido. He visto mucho software con cero errores en el escaneo estático que el primer día en producción registraba mal el importe del pedido. No confíes demasiado en la automatización, las pruebas de escenario son obligatorias.

Nosotros encargamos la revisión de código de un CRM a medida de 15.000 euros a un experto independiente y nos cobró 600 euros. El informe encontró una librería PHP obsoleta y 4 consultas que habrían bloqueado la base de datos. La agencia lo corrigió sin rechistar. Esos 600 euros nos ahorraron al menos 3.000 euros en retoques futuros.

Mira tu contrato. ¿Hay alguna cláusula de garantía de 30 o 60 días o de corrección de errores tras la entrega? Aunque le pases el informe de la herramienta de análisis, si el contrato no tiene una cláusula vinculante sobre estándares de código, la agencia puede lavarse las manos diciendo "el código funciona".

No intentes hacerte pasar por programador, sé honesto con la agencia. Diles: "Por procedimiento corporativo, pasaremos el código por una herramienta independiente de prueba estática y adjuntaremos el informe al acta de entrega"... Con solo escuchar esa frase, se encargarán de limpiar la basura más evidente antes de entregar.

¿Estas herramientas también pueden encontrar malware o virus ocultos en el código? Y otra cosa ¿podemos saber si la agencia escribió el proyecto desde cero o si se lo copió tal cual de internet?

Ed: ya se preguntó abajo, dejé la respuesta en el segundo mensaje.

Los tres documentos mínimos que debes exigir a la agencia en la entrega: 1) Guía de instalación y ejecución, 2) Lista de licencias de las librerías de código abierto utilizadas (deben ser aptas para uso comercial), 3) Scripts de despliegue que demuestren que el sistema se levanta desde cero en un entorno independiente.

Estoy totalmente de acuerdo. No tengáis miedo de preguntar quien no pregunta siempre paga más caro.

El error cometido por herramenta de análisis de código fuente suele ser reversible pero caro. Si tenéis dudas escribid os responderé en la medida de lo posible.

Me pasó lo mismo.

estoy totalmente de acuerdo luego el errror cometido por herramenta de análisis de código fuente suele ser reversible pero caro.

un informe semanal por escrito funciona mucho mejor que preguntar por fechas pero espero que le sea útil.

El punto que más se pasa por alto sobre herramenta de análisis de código fuente es este: Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Eso es todo, disculpa si me he extendido demasiado.

Correcto.

Tienes razón yo también pasé por lo mismo. La oferta más barata suele ser la menos pensada.

Lo dejo como nota por si sirve.

Tienes razón, yo también pasé por lo mismo. Si la propiedad del código no está en el contrato, al irte no tienes poder de negociación.

Comprobado por experiencia.

En este punto no estoy de acuerdo con ustedes. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Gracias, me ha servido de mucha ayuda.

La discusión se ha dispersado, voy a ordenarla. Al tomar decisiones, escribe también el peor escenario, no solo el mejor.

Preguntad quién ha preparado la oferta y quién hará el trabajo.

A mí me pasó justo al revés, por eso escribo. Si decidimos sin medir, siempre acabamos en el mismo punto.

Corrijanme si me equivoco.