Sécurité
La RLS est activée, et pourtant le rôle propriétaire lit tout : comment le détecter
Le propriétaire d'une table et les rôles BYPASSRLS ignorent les policies. Le script pour le reproduire, les requêtes pour le détecter, le test qui échoue.
Tu ne sais plus ce que ton code te coûte. On le mesure.
Deux semaines pour lire ton produit, tes déploiements et tes factures, et te rendre un document qui dit quoi corriger, dans quel ordre, et ce que chaque ligne évite.De 350 € à 750 €Par Charlie Dallier-Wood
- Les risques qui peuvent te coûter une journée de production
- Ce que la dette te prend chaque semaine en heures réelles
- Un plan de remédiation ordonné par ratio gain sur coût
- La liste des dépendances que tu ne peux plus mettre à jour
Ce que je regarde
Je lis le dépôt, l’historique, la chaîne de déploiement et les factures. Pas une revue de code ligne par ligne : ce qui m’intéresse, c’est ce qui décide du coût de ta prochaine évolution. L’état des migrations et leur correspondance avec la base réelle. Ce qui garde les routes d’administration. Ce qui se passe quand une dépendance sort une faille et qu’il faut mettre à jour sans rien casser. Le délai entre une demande et sa mise en ligne. Et la seule question qui tranche vraiment : est-ce qu’une sauvegarde a déjà été restaurée.
Ce que tu reçois
Un document, pas une conversation. Les risques classés par ce qu’ils peuvent te coûter, le temps que la dette te prend chaque semaine, et un plan de remédiation ordonné par ratio gain sur coût — de quoi savoir quoi faire lundi matin, et quoi ne pas faire. Puis 90 minutes pour le parcourir ensemble et répondre à ce que tu veux creuser.
Ce que je ne fais pas
Je ne te dis pas que tout est à refaire. C’est la réponse la plus fréquente d’un développeur qui arrive sur un code qu’il n’a pas écrit, et c’est la plus chère. Sur GoPronos, un prototype Lovable a été sorti de son générateur en quarante commits, sans réécriture. Ailleurs, j’ai engagé une migration puis j’ai renoncé en cours de route parce que le calcul ne tenait plus. Le critère n’est pas la qualité du code, c’est le coût de ce que tu veux construire ensuite.
Je ne rends pas non plus un audit qui ménage tout le monde. S’il y a un problème qui peut te coûter une journée de production, il est en première page.
La preuve
Questions fréquentes sur ce service
Salut, c’est Charlie. Choisis une question, je te réponds ici.
Tu as besoin d'un accès à notre code ?
Oui, en lecture seule, et à vos tableaux de bord d'hébergement. Sans le dépôt je ne peux rien affirmer, et un audit qui n'affirme rien ne sert à rien.
Ça débouche forcément sur une mission ?
Non. Le rapport est écrit pour être exécuté par ton équipe : c'est le but. Si tu préfères que je traite le plan moi-même, ça devient une TMA, et c'est une décision qui vient après.
Combien de temps ?
Deux semaines entre l'accès au dépôt et la restitution, selon la taille du produit.
Quelle différence avec la reprise d'un MVP no-code ?
La reprise part d'un prototype Lovable ou Bolt et décide ce qu'on garde. L'audit part d'un produit déjà en production, qui sert de vrais utilisateurs, et décide ce qu'on répare en premier.
À lire ensuite
- SimplyJury : de l'audit aux lots réguliers (étude de cas)
SaaS & Product
Comment savoir si ton application est encore maintenable
Les signaux à vérifier pour savoir si ton application peut encore évoluer, avant de décider quoi que ce soit.
