Audit kódu: kdy si ho objednat a co dostanete

Audit kódu si objednejte ve chvíli, kdy se chystáte rozhodnout o softwaru, kterému úplně nerozumíte: před převzetím projektu od jiného dodavatele, před větší investicí do rozvoje, po bezpečnostním incidentu nebo když vývoj citelně zpomalil. Dostanete písemný přehled rizik v bezpečnosti, kvalitě, výkonu a provozu, seřazený podle priority, s doporučením, co opravit hned a co může počkat.

Audit neděláme proto, abychom našli co nejvíc chyb. Děláme ho proto, abyste věděli, na čem stojíte, a mohli se rozhodnout s otevřenýma očima.

Jako senioři, kteří denně přebírají a upravují cizí weby, e-shopy a aplikace, vidíme, že majitelé systémů o jejich stavu často nevědí nic. Kód je pro ně černá skříňka, které rozumí jen původní dodavatel. Audit tuto skříňku otevře a přeloží její obsah do jazyka rozhodnutí: co to stojí, co hrozí a co s tím dělat.

Kdy se audit kódu vyplatí

• Přebíráte projekt od jiného dodavatele. Předchozí firma skončila, programátor odešel nebo přecházíte k novému dodavateli. Než začnete platit nový vývoj, vyplatí se vědět, jestli se na kód dá stavět.
• Plánujete větší investici. Nový modul, napojení na další systémy, expanze do další země. Audit ukáže, jestli je základ připravený, nebo je potřeba nejdřív uklidit.
• Vývoj zpomalil. Každá malá změna trvá týdny a rozbije něco jiného. To bývá příznak technického dluhu, který se dá pojmenovat a splácet.
• Stal se incident. Únik dat, výpadek, podezřelá aktivita. Kromě opravy samotného problému je potřeba zjistit, jestli podobných míst není víc.
• Aplikaci jste postavili přes AI nástroj. Prototyp z vibe codingu funguje, ale před puštěním zákazníků je potřeba vědět, jestli je bezpečný. Na to je samostatná služba AI kód do produkce.
• Kupujete firmu nebo produkt. Software je často největší aktivum a zároveň největší skryté riziko.

Co audit kódu pokrývá

Oblast	Na co se díváme
Bezpečnost	přihlašování a oprávnění, ošetření vstupů, hesla a klíče v kódu, zranitelné knihovny
Kvalita kódu	struktura, duplicity, čitelnost, jestli se dá kód rozumně měnit
Testy	jestli existují, co pokrývají a jestli běží automaticky při každé změně
Výkon	pomalé databázové dotazy, zbytečná zátěž, jak systém zvládne růst
Provoz	nasazování, zálohy, monitoring, aktualizace serveru a závislostí
Závislosti	zastaralé frameworky a knihovny, které už nedostávají bezpečnostní opravy

Rozsah přizpůsobíme otázce, na kterou potřebujete odpověď. Pokud vás zajímá jen bezpečnost před spuštěním, nemusíme řešit estetiku kódu.

Jak audit u nás probíhá

1. Krátký rozhovor. Co je cílem auditu, jaké rozhodnutí z něj má vzniknout a co už o systému víte.
2. Přístup. Dostaneme přístup pro čtení k repozitáři, případně k dokumentaci a prostředí. NDA podepisujeme standardně.
3. Analýza. AI asistenti nám pomohou rychle projít velký objem kódu a najít podezřelá místa. Každé zjištění ale ověří senior, aby ve zprávě nebyly plané poplachy.
4. Zpráva. Písemný výstup se zjištěními seřazenými podle závažnosti.
5. Projití zprávy. Na hovoru vysvětlíme, co zjištění znamenají a jak postupovat.

Co dostanete

Výstupem není stostránkový dokument, který nikdo nedočte. Dostanete:

• Shrnutí na jednu stranu pro vedení: celkový stav, největší rizika a doporučení.
• Seznam zjištění s přesným místem v kódu, popisem rizika a závažností.
• Doporučený postup: co opravit hned, co v nejbližších měsících a co stačí sledovat.
• Odhad náročnosti oprav, abyste mohli naplánovat rozpočet, ať už opravy udělá kdokoli.

Opravy si nemusíte objednat u nás. Zpráva má být použitelná pro libovolného programátora nebo dodavatele.

Kolik audit kódu stojí

Účtujeme odpracované hodiny seniora, 38 € / hod bez DPH. Kolik hodin audit zabere, závisí na velikosti systému a na otázce, na kterou hledáte odpověď. Před začátkem se domluvíme na rozsahu a dostanete odhad hodin. Pokud potřebujete jen rychlý druhý názor, dá se začít i jednou hodinou konzultace. Podrobnosti najdete ve službě IT konzultace seniora a na stránce cena.

Nejčastější zjištění

Každý systém je jiný, ale některé nálezy se opakují skoro při každém auditu:

• framework nebo verze PHP, která už nedostává bezpečnostní opravy,
• administrace nebo API, kde se kontroluje přihlášení, ale ne oprávnění ke konkrétnímu záznamu,
• hesla k databázi nebo platební bráně přímo v repozitáři,
• zálohy, ze kterých ještě nikdo nezkoušel obnovit,
• nasazování ručním kopírováním souborů na server bez historie změn.

Většina z nich se dá opravit rychle a levně, jakmile o nich víte. Problém je, že dokud je nikdo nepojmenuje, nikdo je ani neopraví.

Jak se na audit připravit

Nemusíte připravovat nic složitého. Pomůže přístup k repozitáři, informace, kde a jak aplikace běží, a kontakt na člověka, který systém zná, pokud takový existuje. Pokud dokumentace chybí, nevadí, i to je zjištění. Čím jasněji řeknete, jaké rozhodnutí z auditu potřebujete, tím levnější a užitečnější bude.

Co audit není

Audit kódu není záruka, že v systému není žádná chyba. Je to odborný pohled na nejvýznamnější rizika. Není to ani penetrační test, při kterém se někdo aktivně snaží do systému proniknout, i když u bezpečnostních zjištění doporučíme, kde by dával smysl. A není to hodnocení programátorů, kteří kód psali. Každý kód má svou historii, termíny a kompromisy a ty bereme v úvahu.

Audit kódu psaného s AI

Čím dál častěji auditujeme kód, který vznikl s pomocí AI. Postup je stejný, ale některé chyby se v něm objevují častěji: chybějící kontrola oprávnění, neošetřené vstupy nebo knihovny, které neexistují. Více v článku Je kód psaný s AI bezpečný?

Shrnutí

Audit kódu je levnější než rozhodnutí udělané naslepo. Vyplatí se před převzetím projektu, před investicí, po incidentu a vždy, když vývoj přestane postupovat. Dostanete jasný seznam rizik a postup, ne akademický posudek.

Potřebujete vědět, v jakém stavu je váš systém? Napište nám, domluvíme rozsah auditu.