L'agenzia alla consegna dice di aver fatto anche l'analisi del codice sorgente: cosa significa ed è davvero necessaria?

L'analisi statica del codice esamina i sorgenti senza mandare in esecuzione l'app e di norma rileva falle di sicurezza note, memory leak o blocchi di codice non conformi agli standard. L'agenzia dovrebbe fornirvi il report grezzo in PDF con l'indicazione del tool utilizzato e del livello di gravità dei problemi riscontrati.

correzione: mi ricordavo male il numero, era un po' più basso.

Dopo quest'analisi vi hanno rilasciato un report tecnico scritto? Vi hanno specificato quali standard hanno seguito per esempio le linee guida OWASP, o ve lo hanno detto solo a voce?

Analizzare il proprio codice e dire che va tutto liscio è la classica scusa in fase di consegna. È assai probabile che abbiano fatto girare un plugin gratuito per giustificare due mesi di ritardo dicendo "abbiamo fatto l'analisi". Chiedete il report e vedrete che rimarranno a mani vuote.

A questo punto dovete fare 3 richieste precise all'agenzia: 1) Fatevi dare il report grezzo dell'analisi, 2) Esigete conferma scritta della chiusura delle falle critiche e ad alta priorità, 3) Per i rischi medi non risolti, mettete a verbale di consegna la riserva di responsabilità a carico loro.

L'anno scorso su un nostro progetto B2B da 350.000 TL l'agenzia ci diceva che era tutto perfetto. Non fidandoci, abbiamo speso 35.000 TL per una perizia esterna indipendente: sono saltate fuori 3 falle critiche di autorizzazione. L'agenzia è stata costretta a sistemarle gratis da contratto.

Mandate subito un'email. Chiedete la data dei test svolti, il nome dello scanner utilizzato e l'eventuale elenco dei bug rilevati. Se fa parte della loro normale routine di sviluppo hanno già il file pronto e possono mandarvelo in giornata.

pure da noi quando hanno ritardato la consegna han detto la stessa cosa chiesti i report ci han rifilato due paginette generiche. boh pretendete i log dettagliati e loutput della scansione nn fatevi liquidare cosi.

Sul nostro portale, tre mesi dopo la consegna, il sistema si è bloccato per un errore nelle query del database. Alla fine è emerso che quando dicevano "analisi del codice sorgente" intendevano un semplice controllo sintattico, i test di carico architetturali non li avevano nemmeno avviati. Da allora non accetto formalmente nessun software senza vedere prima un report indipendente esterno.

Il mio dubbio è stato chiarito, grazie. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Spero che le sia utile.

Salvato. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

corretto.

Lo sentiamo dire da tempo, ma da noi non è mai andata così. L'errore commesso da significato analisi codice sorgente è generalmente reversibile ma costoso.

Questa è la mia opinione non la scrivo come verità assoluta.

C'è un errore comune che si commette facendo questo. Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

Io seguirei questa strada.

Riassumo l'argomento, perché sono state date diverse risposte. Se il contratto non specifica la proprietà del codice, al momento di andarsene non hai potere contrattuale.

Se volete procedere così, risolvete questo punto fin dall'inizio. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Se scrivete qui il risultato, sarà utile anche ad altri.

La mia domanda sarà un po' da principiante, scusate. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Io seguirei questa strada.

Mi chiedo anch'io.

Grazie mille, proverò oggi.