Programari fràgil: 15 senyals que indiquen que una auditoria tècnica és urgent

Una aplicació pot funcionar i alhora tornar-se fràgil. Les incidències es resolen una per una, els lliuraments triguen més, els costos augmenten, però ningú no sap dir per què. En aquest punt, afegir un desenvolupador o iniciar una reforma sovint equival a decidir sense diagnòstic.

Una auditoria tècnica estableix constatacions sobre el codi, l’arquitectura, les dependències, la seguretat i l’explotació, i després les classifica per prioritat. Els quinze senyals següents, agrupats en cinc àmbits, indiquen quan aquest examen esdevé urgent. Si en un mateix àmbit en detecteu diversos, val la pena que us hi atureu.

• La vostra aplicació ja no funciona? La llista de comprovació per a la recuperació↗

Aquests senyals mostren que l’aplicació no és observable. Sense registres utilitzables, sense seguiment dels errors i sense retorn enrere, cada incidència es tracta a cegues. L’auditoria verifica què es mesura, de què es fan còpies de seguretat i què es pot restaurar.

• ✓Les mateixes incidències tornen a aparèixer després de cada correcció.
• ✓Ningú no rep cap alerta abans que els usuaris informin d’un problema.
• ✓Tornar a la versió anterior és impossible o no s’ha provat mai.

Quan un equip dubta a lliurar, el problema poques vegades és la seva motivació. Els desplegaments manuals, l’absència de proves i uns entorns diferents de la producció fan que cada canvi sigui incert. L’auditoria identifica què fa que els lliuraments siguin arriscats i què caldria fer més fiable en primer lloc.

• ✓Els terminis es tornen imprevisibles, fins i tot per a canvis petits.
• ✓Les posades en producció es fan manualment, sovint fora de l’horari laboral.
• ✓La llista de correccions pendents creix més de pressa del que disminueix.

Un codi pot ser antic sense ser fràgil. El senyal útil és l’efecte dels canvis: si una correcció local trenca funcions allunyades, les fronteres entre les parts del sistema són difuses. Les dependències obsoletes afegeixen un risc de seguretat i compliquen cada actualització.

• ✓Un canvi local provoca regressions en altres parts de l’aplicació.
• ✓Algunes dependències ja no es mantenen o fa molt de temps que no s’actualitzen.
• ✓Ningú no pot assegurar que el codi en producció correspongui al repositori.

El risc més subestimat és humà. Quan només una persona sap desplegar o coneix les regles de negoci, la seva marxa pot aturar les evolucions. A Macq, en el projecte TRADEMEX, CUB3 va mobilitzar un perfil que ja coneixia el producte per assegurar la continuïtat després de la marxa d’una persona clau i transmetre aquest coneixement als equips.

• ✓Només una persona sap desplegar o entén una part crítica.
• ✓Els interlocutors tècnics canvien sovint i es perd el context.
• ✓No hi ha documentació actualitzada ni gestió centralitzada dels accessos.

• El cas Macq: continuïtat tècnica a TRADEMEX↗

Els senyals tècnics acaben afectant la xifra de negoci o el compliment normatiu. Una factura del núvol que augmenta sense que creixi l’ús, una petició d’un client impossible de complir o una pregunta de seguretat sense resposta mereixen un examen abans del pròxim compromís.

• ✓La factura d’allotjament augmenta sense un creixement comparable de l’ús.
• ✓Hi ha compromisos comercials bloquejats per limitacions tècniques.
• ✓Una pregunta de seguretat o de compliment normatiu continua sense una resposta clara.

JustWC connecta professionals itinerants, com ara repartidors o tècnics de camp, amb lavabos i punts d’aigua mitjançant una WebApp de tiquets. El producte era en producció, però els interlocutors tècnics canviaven sovint i les peticions avançaven lentament. L’auditoria de CUB3 va abastar el codi, les dependències, la seguretat i el dimensionament d’AWS.

Va revelar màquines sobredimensionades i problemes de seguretat que calia corregir. Després, els treballs es van ordenar segons el seu impacte i el pressupost: correcció dels problemes de seguretat, refactorització de les parts prioritàries i, finalment, una infraestructura redimensionada i descrita amb Terraform. El cost d’infraestructura va passar de 75 € a 18 € al mes, és a dir, un 76 % menys. Aquest resultat es refereix a aquest producte i al seu ús; no és un estalvi garantit.

• Llegir el cas JustWC↗

Una auditoria útil acaba plantejant decisions possibles, no una simple llista de defectes. A CUB3, l’auditoria abasta una aplicació i un repositori: revisió del codi i de l’arquitectura, examen de les dependències, comprovacions focalitzades de seguretat i rendiment i, finalment, un informe prioritzat i una presentació de resultats. El pressupost orientatiu és de 2 000 a 4 000 € sense IVA, confirmat després de definir l’abast.

El que l’auditoria no fa és igual d’important: no corregeix els problemes, no és una prova de penetració i no equival a una certificació. Les correccions es pressuposten després segons les prioritats escollides, en forma de recuperació, de preparació DevOps o de manteniment.

• ✓Les constatacions remeten a elements verificables del codi o de la infraestructura.
• ✓Cada recomanació té una prioritat i una justificació.
• ✓Els riscos immediats estan separats de les millores desitjables.
• ✓La presentació de resultats permet triar els passos següents: corregir, recuperar o reconstruir.

• L’abast i el preu de l’auditoria tècnica↗