L'agenzia chiede un extra per l'analisi statica del codice sorgente: cos'è, serve davvero?

Gestisco progetti software da anni e questa richiesta mi sembra solo un modo per gonfiare il fatturato. I team di sviluppo moderni integrano i tool di analisi statica direttamente nelle pipeline di CI/CD e li fanno girare in automatico a ogni modifica. Dire "controlliamo il lavoro che abbiamo fatto noi, ma pagatecelo a parte" prima della consegna non sta né in cielo né in terra.

L'analisi statica esamina l'albero sintattico del codice. Trova vulnerabilità nelle query al database, chiavi di accesso esposte o incompatibilità tra librerie prima ancora che il software venga avviato. È utilissima, ma si tratta puramente di lanciare un programma ed esportare un PDF. Senza una revisione manuale approfondita, non ha alcun senso tecnico giustificare un costo di 1.800 EUR.

Ci è successa la stessa cosa a Stoccarda con un portale B2B da 16.000 EUR. Ne chiedevano 1.200, ci siamo rifiutati. Abbiamo preso il codice e fatto fare un'analisi esterna a un freelancer senior per 350 EUR. Le 8 criticità emerse le abbiamo fatte correggere all'agenzia in garanzia.

Del report fornito dall'agenzia stessa non c'è comunque da fidarsi. Facendo girare i propri tool possono benissimo allentare i filtri e tirare fuori un report immacolato. Chi sviluppa non può essere lo stesso che controlla. Se dovete investire un budget extra, non datelo assolutamente all'agenzia che ha fatto il lavoro.

ma se non facciamo affatto questa analisi rischiamo problemi di sicurezza a sistema avviato? boh cioè, non farla blocca proprio il funzionamento del sito o serve solo per errori nascosti sotto il cofano?

Aprite subito il contratto e leggete la clausola sui criteri di accettazione. Se c'è scritto "consegna di codice sicuro e conforme agli standard di settore", pretendete questo report come attestazione di qualità obbligatoria senza sborsare un centesimo in più. Se rifiutano, non pagate l'extra e attendete la consegna.

nn pagate assolutamente. premono un tasto su un programma e vi sbatono davanti un pdf.. ma soldi buttati, molto meglio farlo controllare a uno da fuori dopo la consegna.

Secondo i principi del contratto d'opera nel diritto civile tedesco, l'appaltatore è tenuto a consegnare un'opera esente da vizi. Le criticità rilevate dall'analisi statica del codice costituiscono vizi che andrebbero sanati prima del collaudo. Di conseguenza, addebitare i costi di tale verifica al committente è giuridicamente assai contestabile.

vi spiego come si fa in pratica e prendere appunti per due settimanne dà risultati migliori rispetto a una stima di sei mesi.

sono curioso di sapere se qualcuon lo fa in modo diverso.

Ha ragione. L'offerta più economica è spesso quella meno ponderata.

Io seguirei questa strada.

Argomento molto attuale.

Mi chiedo anch'io.

Non trascurare nulla: Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Le soluzioni che funzionano su piccola scala crollano quando si cresce l'ho imparato tardi. Se scrivete qui il risultato, sarà utile anche ad altri.

L'anno scorso abbiamo vissuto quasi la stessa cosa. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Lascio una nota, potrebbe servire.

Anche da noi è così.

Concordo pienamente. Chiunque abbia fretta su analisi statica del codice si blocca nello stesso punto.

Le decisioni affrettate diventano decisioni da correggere sei mesi dopo. È tutto, scusate se mi sono dilungato.

Anche da noi è così. L'errore commesso da analisi statica del codice è generalmente reversibile ma costoso.

Questa è la mia opinione non la scrivo come verità assoluta.

Lascio un avvertimento. Se non sono stati definiti i criteri di accettazione, il momento in cui il lavoro è finito è discutibile.

Non abbiate paura di chiedere, chi non chiede paga sempre di più. Correggetemi se sbaglio.