Агентство при сдаче проекта заявило, что провело анализ исходного кода. Что это вообще значит и нужно ли это?

Статический анализ кода проверяет исходники приложения без их запуска и обычно находит известные уязвимости, утечки памяти или костыли, нарушающие стандарты. Агентство должно быть готово предоставить вам исходный PDF-отчет с указанием софта, которым сканировали, и уровней критичности найденных проблем.

исправление: ошибся в цифре, было чуть меньше.

Они выдали вам письменный технический отчет по итогам этого анализа? Уточнили по каким стандартам сканировали, например, по OWASP, или все ограничилось словами на словах?

Проанализировать собственный код и заявить, что все чисто — классическая отмазка при сдаче. С высокой долей вероятности они просто накатили бесплатный плагин и прикрылись этим чтобы оправдать два месяца простоя. Требуйте отчет, чаще всего им показать нечего.

На этом этапе нужно выставить агентству 3 четких требования: 1) Запросить исходный отчет по анализу без правок, 2) Получить письменное подтверждение закрытия критических и высоких уязвимостей, 3) По неустраненным рискам среднего уровня внести в акт приемки пункт об ответственности агентства.

В прошлом году в нашем B2B-проекте с бюджетом 350.000 TL агентство тоже уверяло, что все чисто. Мы засомневались, отдали 35.000 TL за независимый аудит со стороны — вылезло 3 критические дыры в авторизации. Агентству пришлось бесплатно все закрывать в рамках договора.

Не тяните время, пишите им на почту прямо сейчас. Запросите дату проведения тестов, название сканера и список найденных ошибок, если он формировался. Если это их стандартный процесс разработки, готовая выгрузка у них уже есть, скинут в тот же день.

у нас тоже при задержке сроков втирали то же самое попросили отчет — прислали общую отписку на две страницы. требуйте подробные логи и результаты сканирования обязательно, не давайте съехать с темы.

На нашем портале через три месяца после приемки система намертво встала из-за кривого запроса к базе данных. Оказалось, их «анализ исходного кода» заключался в банальной проверке синтаксиса, а нагрузочные тесты архитектуры они вообще не запускали. С тех пор без независимого стороннего отчета я ни один софт официально не принимаю.

Мои сомнения развеялись, спасибо. Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Надеюсь, это будет полезно.

Сохранил. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Интересно, есть ли те, кто делает иначе.

верно.

Об этом много говорят, но у нас так никогда не было. Ошибка, сделанная на стороне что такое анализ исходного кода, обычно исправима, но дорого.

Это мое мнение не утверждаю, что оно единственно верное.

При выполнении этого часто совершают одну ошибку. Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.

Я бы пошел этим путем.

Сведу тему в кучу, так как ответов было несколько разных. Если в договоре не прописано право собственности на код, при уходе у вас нет переговорной позиции.

Если пойдете этим путем, сразу решите вот этот вопрос. Решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

Если напишете результат здесь, это поможет и другим.

Вопрос будет немного наивным, извините заранее. Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Я бы пошел этим путем.

Мне тоже интересно.

Большое спасибо, сегодня попробую.