L'agence demande un supplément pour une analyse statique du code source — c'est quoi, c'est indispensable ?

Je gère des projets de dev depuis des années, pour moi c'est clairement une tentative de gonfler la facture. Les équipes de dev modernes intègrent des outils d'analyse statique directement dans leur CI/CD et ça tourne automatiquement à chaque commit. Dire 'on va vérifier notre propre taf avant livraison mais payez pour ça', ce n'est pas acceptable.

L'analyse statique analyse l'arbre syntaxique du code. Elle détecte les failles dans les requêtes BDD, les clés d'API laissées en clair ou les conflits de librairies sans faire tourner l'appli. C'est utile, mais ça revient juste à lancer un outil et sortir un PDF. Sans audit manuel approfondi, ça ne coûte techniquement pas 1.800 EUR.

Ça nous est arrivé à Stuttgart sur un portail B2B avec un budget similaire de 16.000 EUR. Ils demandaient 1.200 EUR, on a refusé. On a récupéré les sources et fait faire un audit externe par un dev senior freelance pour 350 EUR. L'agence a dû corriger les 8 failles critiques remontées dans le cadre de la garantie.

Même le rapport fourni par l'agence ne sera pas fiable. En lançant leurs propres outils, ils risquent d'assouplir les règles pour sortir un rapport tout propre. On ne peut pas être juge et partie. Si vous devez investir un budget supplémentaire, ne le donnez surtout pas à l'agence qui a codé le projet.

si on ne fait pas du tout cette analyse, est-ce qu'on risque d'avoir des problèmes de sécurité en prod ? en clair, est-ce que ne pas la faire va empêcher le site de tourner, ou c'est juste pour des bugs invisibles en arrière-plan ?

Ouvrez tout de suite votre contrat et lisez la clause sur les critères de livraison. S'il est écrit 'livraison d'un code sécurisé conforme aux standards de l'industrie', exigez ce rapport comme preuve de conformité sans payer un centime de plus. S'ils refusent, ne payez rien en plus et attendez la livraison.

payez surtout pas... bref ils vont juste cliquer sur un bouton pour lancer un outil et vous coller le pdf sous le nez puis de l'argent jeté par les fenêtres bcp plus logique de faire checker par un tiers après livraison.

Selon les principes du contrat d'entreprise en droit allemand des contrats, le prestataire est tenu de livrer un produit exempt de vices. Les failles détectées par une analyse statique de code constituent en réalité des défauts qui doivent être corrigés avant réception. Facturer le coût de ce contrôle au client est donc juridiquement très contestable.

je vais expliquer comment c'est fait en pratique et bref prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

je suis aussi cruieux de savoir si d'autres font autrement.

Vous avez raison. L'offre la moins chère est généralement la moins réfléchie.

À votre place, j'irais par cette voie.

Sujet très actuel.

Je me pose aussi la question.

Ne manquez rien : Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant j'ai appris cela trop tard. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Nous avons vécu presque la même chose l'année dernière. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Je le note au cas où.

Chez nous aussi.

Je suis entièrement d'accord. Tous ceux qui se pressent sur analyse statique de code se heurtent au même obstacle.

Les décisions hâtives finissent par être corrigées six mois plus tard. Voilà, désolé si je me suis étendu.

Chez nous aussi. L'erreur commise du côté de analyse statique de code est généralement réversible, mais coûteuse.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

Je me permets une petite mise en garde. Si les critères d'acceptation ne sont pas écrits, la date de fin du projet est ouverte à discussion.

N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher. Corrigez-moi si je me trompe.