Не знаю, у якому стані наш код. Розробники кажуть одне, а результат інше.
Дивимося код незалежно. Показуємо, що працює, що ризиковано і що можна не чіпати. Усе пишемо простою мовою, з прикладами з вашого репозиторію.
Аудит коду: побачте, що ламатиметься, до того як воно зламається
Ми читаємо ваш код, перевіряємо безпеку і складаємо список проблем із пріоритетами та оцінкою роботи. Ви отримуєте план, а не загальні поради.
Кошторис і строки після брифу
Кому підходить
- Власники продукту, які успадкували код від попередньої команди або підрядника
- Стартапи перед залученням інвестицій чи великим запуском
- Бізнеси, у яких сайт чи застосунок повільний, часто падає або дорого підтримується
- Компанії, які хочуть перевірити підрядника перед приймання роботи
Які задачі вирішуємо
Боїмося, що сайт зламають або витечуть дані клієнтів.
Перевіряємо типові вразливості (за переліком OWASP Top 10), секрети в коді, права доступу й залежності із відомими дірами. Для кожної знахідки пишемо, як її закрити.
Кожна нова функція займає все більше часу.
Шукаємо технічний борг (місця, де колись зробили швидко й нині це гальмує розробку). Ранжуємо його за впливом і вартістю виправлення.
Не знаємо, чи витримає система більше користувачів.
Дивимося на запити до бази, кешування, архітектуру й конфігурацію сервера. Вказуємо вузькі місця й що робити спершу.
Що входить у роботу
- Огляд архітектури та структури репозиторію
- Перевірка безпеки: автентифікація, права, введення даних, секрети
- Аналіз залежностей на відомі вразливості
- Огляд якості коду: дублювання, складність, покриття тестами
- Перегляд запитів до бази й місць, що гальмують
- Перегляд налаштувань розгортання, резервних копій і CI/CD (автоматичної збірки та випуску)
- Реєстр проблем із пріоритетом: критично, важливо, можна відкласти
- Оцінка годин і вартості виправлень
- Звіт у PDF і розмова на 60 хвилин із розбором
- ШІ-інструменти для первинного сканування, а висновки перевіряє старший інженер
Оберіть обсяг роботи
Пакет допомагає описати задачу. Кошторис і строки погоджуємо після брифу та уточнення вимог.
01
Експрес-аудит
Невеликий сайт чи застосунок, потрібна швидка картина
- Огляд архітектури
- Скан залежностей і секретів
- Топ ризиків з пріоритетами
- Короткий звіт і розмова
02
Повний аудит
Продукт із живими користувачами, перед масштабуванням або запуском
- Безпека за OWASP Top 10
- Якість коду й технічний борг
- База даних і продуктивність
- Розгортання та резервні копії
- Реєстр проблем з оцінкою годин
03
Аудит і план виправлень
Тим, хто хоче одразу рухатися далі з виконавцем
- Усе з повного аудиту
- Дорожня карта на погоджений період
- Виправлення критичних проблем (пілот з KPI)
- Повторна перевірка після змін
Як працюємо
Бриф і вимоги
Ви описуєте задачу й поточний процес. Уточнюємо вимоги, обираємо перший етап і готуємо кошторис.
Первинне сканування
Запускаємо автоматичні перевірки залежностей, секретів і стилю коду. Це дає швидку карту ризиків.
Ручний огляд
Старший інженер читає критичні частини: оплати, авторизацію, роботу з даними. Автоматика цього не замінить.
Звіт і пріоритети
Складаємо реєстр проблем, оцінюємо години й вартість. Кожен пункт має пояснення й спосіб перевірки.
Розбір і рішення
Проводимо розмову, відповідаємо на питання. Ви вирішуєте, що робити самі, а що доручити нам. Оплата поетапна.
Межі роботи
- Не гарантуємо, що в коді немає жодної вразливості. Аудит знижує ризик, але не прибирає його повністю.
- Не робимо повноцінного тесту на проникнення (пентесту) в межах цих пакетів. Це окрема робота.
- Не переписуємо код без вашої згоди й окремого рахунку.
Часті питання
Що потрібно від мене для початку?
Доступ до репозиторію лише на читання, короткий опис продукту й контакт людини, яка знає систему. Бажано також доступ до опису розгортання. Секретні ключі від продакшену нам не потрібні.
Чи побачите ви наші паролі та дані клієнтів?
Ні, ми працюємо з кодом, а не з живою базою. Якщо потрібен тестовий стенд, використовуємо знеособлені дані. Усі доступи залишаються вашими, ви можете закрити їх будь-коли.
Які мови й технології ви перевіряєте?
Найчастіше це JavaScript і TypeScript, Python, PHP та популярні фреймворки. Екзотичний стек обговорюємо наперед. Якщо не маємо досвіду, скажемо чесно.
Чим ви відрізняєтеся від автоматичного сканера?
Сканер знаходить типові помилки, але не розуміє логіку бізнесу. Ми поєднуємо автоматику із ручним оглядом і розставляємо пріоритети за впливом на ваш бізнес.
Скільки коштуватиме виправлення знайдених проблем?
Кошторис готуємо після брифу й уточнення вимог. Для першого етапу можемо взяти такий обсяг: огляд архітектури; Скан залежностей і секретів. Склад робіт, оплату й строки погоджуємо до старту.
Чи можна зробити пілот з вимірюваним результатом?
Так. Береться одна проблема, наприклад повільна сторінка чи вразливість, і ми домовляємося про вимірювану мету до початку. Після виправлення перевіряємо її разом із вами.
Почнемо з вашої задачі
Опишіть бізнес, бажаний результат і поточний процес. Після брифу уточнимо вимоги та підготуємо кошторис.