Ajans teslimde kaynak kod analizi de yaptık dedi, bu ne anlama geliyor ve gerekli mi?

Mehmet Y***11 ay önce·28 mesaj·5,3 B görüntülenme#kaynak kod analizi #yazılım teslimi #kod denetimi #ajans sözleşmesi

Görev: Bilgi işlem müdürü
Sektör: Ambalaj
Yapı: 40 kişilik üretim firması
Katılım: Eki 2024
Mesaj: 4

11 ay önce#1

Endüstriyel yedek parça satışı yaptığımız B2B sipariş portalımız icin bir yazılım ajansıyla 420.000 TL bütçe ve 5 aylık teslim süresiyle anlaşmıştık... Süreç planlanandan iki ay kdr sarktı ve geçtiğimiz hafta nihayet canlıya geçiş aşamasına geldik... Son onay toplantısında ajans yöneticisi gecikmenin bir kısmını gerekçelendirirken teslimden önce kapsamlı bir kaynak kod analizi yaptıklarını bu sayede projenin çok daha güvenli ve hatasız teslim edildiğini söyledi.

Sözleşmemizi incelediğimde böyle bi kalemin bağımsız bi madde olarak yer almadığını sadece genel test süreçlerinin yazılı olduğunu gördüm. Faturada ekstra bi ücret talep etmediler fakat bu analizin ne olduğunu tam olarak neyi denetlediğini ve yazılımı bizzat yazan ajansın kendi kodunu analiz etmesinin teknik olarak ne kadar geçerli olduğunu anlayamadım.

Daha önce benzer proje teslimi alan arkadaşlara sormak istiyorum: Kaynak kod analizi tam olarak nedir? Bir ajansın kendi yazdığı kodu analiz etmesi yeterli midir yoksa bağımsız bir uzmana ayrıca baktırmalı mıyım?

Rıdvan Y***Uzman

Görev: Yazılım takım lideri
Katılım: Eyl 2023
Mesaj: 196

Doki · Arayüz tasarımı · 2023

11 ay önceEn çok yardımcı olan#2

Kısa cevap: Kaynak kod analizi, yazılımın derlenmeden önceki ham metninin güvenlik açıkları, mimari hatalar ve performans darboğazları açısından taranması işlemidir. Bu analiz yazılım kalitesini artırmak için kritiktir ancak geliştirici firmanın kendi kodunu denetlemesi yalnızca dahili bir kontroldür, bağımsız bir denetim sayılmaz.

Ajansların bu tanımı kullanması genelde iki farklı anlama gelir. İlki, geliştirme ortamında çalışan otomatik araçların çalıştırılıp sözdizimi ve bilinen yaygın kütüphane zafiyetlerinin temizlenmesidir. Bu zaten iyi bir yazılım ekibinin rutin teslim sürecinde bulunması gereken temel bir adımdır. İkincisi ise bağımsız bir güvenlik ekibi tarafından satır satır mimari inceleme ve mantıksal açık taraması yapılmasıdır ki buna derinlemesine kaynak kod denetimi denir.

Sözleşmenizde ayrı bir kalem yoksa ve ek fatura kesilmediyse, ajans büyük ihtimalle standart otomatik statik tarama araçlarını çalıştırmıştır. Kendi yazdıkları kodu kendilerinin onaylaması bir öğrencinin kendi sınav kağıdını puanlamasına benzer. Gerçek bir güvence istiyorsanız teslim tutanağına şu üç şartı koymalısınız: 1) Analizde hangi yazılım araçlarının kullanıldığının belirtilmesi, 2) Çıkan ham güvenlik ve hata raporunun sizinle paylaşılması, 3) Kritik seviyedeki tüm bulguların teslimden önce giderildiğinin belgelenmesi.

Eğer portalınızda yüksek tutarlı finansal işlemler, hassas müşteri verileri veya ERP entegrasyon API'leri yer alıyorsa, canlıya geçtikten sonra bağımsız bir siber güvenlik firmasından harici bir denetim talep etmeniz riskinizi minimize edecektir.

Vildan Ş***Katılımcı

Görev: Kalite kontrol elemanı
Sektör: Tekstil
Yapı: orta ölçekli işletme
Katılım: Ağu 2024
Mesaj: 162

11 ay önce#3

Statik kod analizi uygulamanın kaynak kodunu çalıştırmadan inceler ve genelde bilinen güvenlik açıklarını, bellek sızıntılarını veya standart dışı kod bloklarını tespit eder. Ajans size hangi araçla tarama yaptıklarını ve bulguların ciddiyet seviyesini içeren ham PDF raporunu sunabilmelidir.

düzeltme: rakamı yanlış hatırlamışım, biraz daha düşüktü.

Rabia Ç***Katılımcı

Görev: Bilgi işlem müdürü
Sektör: Enerji
Yapı: 40 kişilik üretim firması
Katılım: Haz 2025
Mesaj: 354

11 ay önce#4

Size bu analiz sonrasında yazılı bi teknik rapor teslim ettiler mi? Hangi standartlara örneğin OWASP kurallarına göre tarama yapıldığını belirttiler mi yoksa sadece sözlü olarak mı söylediler?

Vildan Ş***KatılımcıTopluluk üyesi

Katılım: Kas 2023
Mesaj: 17

11 ay önce#5

Kendi yazdığı kodu analiz edip sorunsuz bulmak klasik bi teslimat savunmasıdır. İki aylık gecikmeyi haklı göstermek için ücretsiz bi eklenti çalıştırıp analiz yaptık demiş olmaları kuvvetle muhtemel. Rapor isteyin, genelde elleri boş kalır.

Ömer Ö***Katılımcı

Görev: Sosyal medya sorumlusu
Sektör: Matbaa
Yapı: zincir mağaza
Katılım: Şub 2023
Mesaj: 64

11 ay önce#6

Bu aşamada ajansa iletmeniz gereken 3 net talep var: 1) Analiz çıktı raporunu ham haliyle isteyin, 2) Kritik ve yüksek seviyedeki açıkların kapatıldığını yazılı teyit ettirin, 3) Düzeltilmeyen orta seviye riskler için teslim tutanağına ajans sorumluluğu şerhi düşün.

Özgür B***KatılımcıTopluluk üyesi

Katılım: Şub 2023
Mesaj: 34

11 ay önce#7

Geçen yıl 350.000 TL bütçeli B2B projemizde ajans her şey temiz dedi. İçimize sinmedi, 35.000 TL verip dışarıdan bağımsız denetim aldık; 3 kritik yetkilendirme açığı çıktı. Ajans bu açıkları sözleşme kapsamında ücretsiz düzeltmek zorunda kaldı.

Efe K***Katılımcı

Görev: Stajyer
Sektör: Danışmanlık
Yapı: yeni kurulmuş girişim
Katılım: Kas 2023
Mesaj: 107

11 ay önce#8

Vakit kaybetmeden e-posta atın. Yapılan testlerin tarihini, kullanılan tarama aracının adını ve varsa oluşturulan hata listesini talep edin. Rutin bi geliştirme adımıysa ellerinde hazır çıktısı vardır, aynı gün iletebilirler.

Sena M***KatılımcıTopluluk üyesi

Katılım: Ara 2024
Mesaj: 142

11 ay önce#9

bizde de teslim gecikince ayni seyi soylemislerdi rapor istedigimizde genel iki sayfalik yazi gonderdiler ve bu arada mutlaka detayi log ve tarama ciktisi isteyin gecistirmesinler.

Gizem A***KatılımcıTopluluk üyesi

Katılım: Eki 2025
Mesaj: 341

11 ay önce#10

Kendi portalımızda teslimden üç ay sonra veri tabanı sorgu hatası yüzünden sistem kilitlendi. Meğer ajans kaynak kod analizi yaptık derken temel sözdizimi kontrolü yapmış, mimari yük testlerini hiç çalıştırmamış. O günden beri harici bağımsız rapor görmeden hiçbi yazılımı resmen teslim almıyorum.