Агентство просит доплату за статический анализ исходного кода — что это такое и нужно ли вообще?

Много лет руковожу проектами по разработке, и это требование очень похоже на обычную попытку выкачать лишние деньги. Нормальные современные команды внедряют статический анализ прямо в пайплайны CI/CD, и он крутится на автомате при каждом коммите. Говорить перед сдачей «давайте мы проверим то, что сами написали, но за ваш счет» — это за гранью добра и зла.

Статический анализ разбирает синтаксическое дерево кода. Он находит дыры в запросах к БД, забытые в открытом виде ключи доступа или нестыковки библиотек еще до запуска кода. Штука полезная, но это буквально запуск одной утилиты и выгрузка PDF. Если там нет глубокого ручного аудита, на 1.800 EUR там технически расходов просто нет.

В Штутгарте с нами произошла точь-в-точь такая же история на B2B-портале с похожим бюджетом в 16.000 EUR. Запросили 1.200 EUR, мы отказались. Забрали код, наняли сеньора на фрилансе за 350 EUR на внешний аудит. В итоге вылезло 8 критических проблем, которые мы заставили агентство переделать по гарантии.

Отчету от самого агентства вы все равно доверять не сможете. Они когда у себя инструмент запускают, запросто могут выкрутить фильтры так, чтобы отчет вышел идеально чистым. Проверяющий и исполнитель не могут быть одним лицом. Если и тратить дополнительный бюджет, то точно не отдавать его тем, кто этот код писал.

а если мы вообще этот анализ делаать не будем будут ли проблемы с безопасностью при работе системы? короче в смысле отсутствие анализа как-то напрямую помешает работе сайта или речь только о каких-то скрытых внутренних ошибках?

Открывайте прямо сейчас ваш договор и читайте критерии приемки. Если там есть формулировка вроде «сдача безопасного кода соответствующего отраслевым стандартам», требуйте этот отчет как обязательное подтверждение качества безо всяких доплат. Если не согласятся — ничего сверху не платите, ждите сдачи.

ни в коем случае не платите. они просто нажмут одну кнопку в тулзе и выкатят вам pdf... денег жалко, намного логичне после приемки отдать на проверку кому-то со стороны.

Согласно принципам договора подряда в немецком праве, подрядчик обязан передать результат работы без скрытых недостатков. Замечания, которые могут быть выявлены статическим анализом, по своей сути являются дефектами, подлежащими устранению до момента приемки. Соответственно, перекладывание расходов на такую проверку на заказчика с правовой точки зрения весьма спорно.

расскажу как это делается на практике потом короче две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.

интерсено есть ли те, кто делает иначе.

Вы правы. Самое дешевое предложение обычно самое непродуманное.

Я бы пошел этим путем.

Очень актуальная тема.

Мне тоже интересно.

Не упустите: Больше всего времени у нас уходило на то что было непонятно кто принимает решения.

Решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно. Если напишете результат здесь, это поможет и другим.

В прошлом году мы столкнулись практически с тем же самым. Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Оставлю как заметку, пригодится.

У нас так же.

Полностью согласен. Все, кто торопится с статический анализ кода, спотыкаются на одном и том же.

Спешка в решениях оборачивается исправлениями через полгода. На этом всё, извините, если затянул.

У нас так же. Ошибка сделанная на стороне статический анализ кода, обычно исправима, но дорого.

Это мое мнение, не утверждаю что оно единственно верное.

Хочу предупредить. Если критерии приемки не прописаны, момент завершения работы становится предметом спора.

Не стесняйтесь спрашивать, молчание всегда обходится дороже. Исправьте, если я ошибаюсь.