L'agence dit avoir fait une analyse de code source à la livraison, ça veut dire quoi et c'est utile ?

L'analyse statique de code examine le code source sans l'exécuter et détecte généralement les failles de sécurité connues, les fuites de mémoire ou le code non standard. L'agence doit être en mesure de vous fournir le rapport PDF brut précisant l'outil utilisé et le niveau de gravité de chaque point relevé.

Correction : je me suis trompé sur le chiffre, c'était un peu plus bas.

Est-ce qu'ils vous ont remis un rapport technique écrit après cette analyse ? Ont-ils précisé les normes appliquées (genre règles OWASP) ou ils vous ont juste dit ça à l'oral ?

Analyser son propre code et dire que tout est clean c'est la défense classique à la livraison. Pour justifier deux mois de retard, ils ont très probablement juste passé un plugin gratuit et prétendu avoir fait une analyse. Demandez le rapport vous verrez qu'ils n'auront rien à présenter.

À ce stade, vous devez faire 3 demandes claires à l'agence : 1) Exiger le rapport brut d'analyse, 2) Obtenir une confirmation écrite que les failles critiques et hautes sont corrigées, 3) Émettre une réserve engageant leur responsabilité sur le PV pour les risques moyens non traités.

L'année dernière, sur un projet B2B à 350.000 TL, l'agence nous disait que tout était nickel. On n'était pas convaincus, on a payé 35.000 TL pour un audit indépendant : 3 failles critiques d'autorisation sont sorties. L'agence a dû les corriger gratuitement dans le cadre du contrat.

Envoyez un mail sans attendre. Demandez la date des tests, le nom de l'outil de scan utilisé et la liste des anomalies trouvées s'il y en a une. Si c'est une étape de dev de routine, ils ont le rapport sous la main et peuvent vous l'envoyer dans la journée.

ils nous avaient sorti la meme quand la livraison avait pris du retard en demandant un rapport on a eu droit a un pauvre doc de deux pages... exigez les logs detailles et le rendu du scan, ne les laissez pas noyer le poisson.

Sur notre portail, trois mois après la livraison, tout le système a planté à cause d'une erreur de requête en base de données. En fait, quand l'agence disait avoir analysé le code source, ils avaient juste vérifié la syntaxe de base sans jamais faire de tests de charge architecturaux. Depuis, je ne réceptionne aucun soft sans avoir vu un rapport externe indépendant.

Mes doutes sont levés, merci. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

J'espère que cela vous sera utile.

Enregistré. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Je suis aussi curieux de savoir si d'autres font autrement.

exact.

On en parle beaucoup mais chez nous, cela ne s'est jamais passé ainsi. L'erreur commise du côté de analyse code source signification est généralement réversible, mais coûteuse.

C'est mon avis je ne l'écris pas comme une vérité absolue.

Il y a une erreur fréquente à commettre en faisant cela. Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

À votre place, j'irais par cette voie.

Je vais résumer le sujet, car plusieurs réponses différentes ont été données. Si la propriété du code n'est pas mentionnée dans le contrat, vous perdez tout pouvoir de négociation au départ.

Si vous partez dans cette direction, réglez cela dès le départ. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Ma question va paraître un peu novice, désolé d'avance. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

À votre place, j'irais par cette voie.

Je me pose aussi la question.

Merci beaucoup, je teste dès aujourd'hui.