L'agence livre le code — existe-t-il un outil pour vérifier la qualité avant validation ?

Les outils automatisés font de l'analyse statique de code (SAST). Ils repèrent direct les risques d'injections SQL dans le code, les tokens d'API laissés en clair, les structures de fonctions hors standards. Les trois premiers paramètres à regarder : 'Failles de sécurité critiques', 'Taux de duplication du code' (en dessous de 5%, c'est raisonnable) et 'Couverture des tests unitaires'.

L'outil vous dira que le code respecte les règles, mais il ne sait pas si le portail calcule bien la TVA sur les commandes. J'ai vu plein de logiciels passer l'analyse statique avec zéro erreur et enregistrer de mauvais montants de commande dès le premier jour en prod. Ne comptez pas trop sur l'automatique, les tests de scénarios réels sont indispensables.

On a fait auditer le code d'un CRM sur mesure à 15.000 Euro par un expert indépendant, ça nous a coûté 600 Euro. Le rapport a trouvé une vieille bibliothèque PHP et 4 requêtes qui allaient saturer la base de données. L'agence a tout corrigé sans discuter. Ces 600 Euro nous ont évité au moins 3.000 Euro de frais de reprise plus tard.

Vérifiez votre contrat. Y a-t-il une clause de garantie ou de correction de bugs de 30 ou 60 jours après livraison ? Même si vous leur mettez sous les yeux un rapport d'analyse de code, s'il n'y a pas de clause contraignante sur les standards de code dans le contrat, l'agence peut très bien se dédouaner en disant 'le code fonctionne'.

N'essayez pas de jouer au dev, soyez franc avec l'agence. bon dites-leur : 'Dans le cadre de nos procédures internes, nous allons passer le code dans un outil de test statique indépendant et joindre le rapport au PV de recette.' Rien que d'entendre cette phrase ça va les pousser à nettoyer tous les trucs crades avant de livrer.

Est-ce que ces outils peuvent aussi détecter des logiciels malveillants comme des virus cachés dans le code ? franchement et peut-on savoir si l'agence a tout codé elle-même de A à Z ou si elle a juste copié-collé des bouts de code trouvés sur le net ?

PS : c'est demandé plus bas, j'ai répondu dans le deuxième message.

Les trois documents indispensables à exiger de l'agence lors de la réception : 1) Le guide d'installation et de déploiement, 2) La liste des licences des bibliothèques open source utilisées (elles doivent être compatibles avec un usage commercial), 3) Les scripts de déploiement prouvant que le système peut être monté de zéro dans un environnement indépendant.

Je suis entièrement d'accord. N'hésitez pas à demander celui qui ne demande pas paie toujours plus cher.

L'erreur commise du côté de outil d'analyse de code source est généralement réversible mais coûteuse. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

J'ai vécu la même chose.

je suis entièrement d'accord. franchement l'erreur commise du côté de outl d'analyse de code source est généralement réversible, mais coûteuse.

un rapport d'avancement écrit hebdomadaire est bien plus utile que de demander des dates puis bon j'espère que cela vous sera utile.

Le point le plus souvent négligé concernant outil d'analyse de code source est : Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

Voilà, désolé si je me suis étendu.

Exact.

Vous avez raison, je suis aussi passé par là. L'offre la moins chère est généralement la moins réfléchie.

Je le note au cas où.

Vous avez raison, je suis aussi passé par là. Si la propriété du code n'est pas mentionnée dans le contrat, vous perdez tout pouvoir de négociation au départ.

C'est confirmé par l'expérience.

Je ne suis pas d'accord sur ce point. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Merci beaucoup, cela m'a été très utile.

La discussion part dans tous les sens, je recentre. Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur.

Demandez qui a préparé le devis et qui fera le travail.

Chez moi, c'est l'inverse qui s'est passé, c'est pourquoi j'écris. Quand on décide sans mesurer, on revient toujours au même point.

Corrigez-moi si je me trompe.