Dependențe rămase în urmă, vulnerabilități, backup netestat, certificate expirate: ce se întâmplă când mentenanța e amânată și cum arată un ritm rezonabil.
O aplicație care „merge” azi nu înseamnă o aplicație care va merge și peste un an. Software-ul stă pe un teren care se mișcă: biblioteci care primesc corecturi, sisteme de operare care ies din suport, certificate care expiră, parole care se scurg, servere care se umplu. Dacă amâni mentenanța, nu se strică nimic imediat, și tocmai de aceea se amână. Costul apare mai târziu, de obicei la cel mai prost moment. Articolul e pentru cine are o aplicație în firmă, tehnic sau nu.
Ce se strică, concret
Dependențele rămân în urmă
Orice aplicație modernă se sprijină pe zeci sau sute de biblioteci scrise de alții. Ele primesc actualizări cu corecturi de erori și de securitate. Dacă nu le urmărești, rămâi pe versiuni vechi, iar o actualizare care s-ar fi făcut într-o după-amiază devine, după doi ani, o migrare de mai multe săptămâni, pentru că între timp s-au schimbat interfețe, s-au retras pachete și nu mai știe nimeni de ce e codul scris așa.
Același lucru e valabil pentru limbajul de programare și mediul de execuție: versiunile vechi ies din suport și nu mai primesc nici corecturi de securitate.
Securitatea: vulnerabilități cunoscute
Lista OWASP a celor mai frecvente riscuri pentru aplicații web include categoria „componente vulnerabile și învechite”. Ești expus, spune OWASP, dacă nu știi ce versiuni folosești, dacă software-ul este nesuportat sau neactualizat, dacă nu cauți vulnerabilități regulat și dacă nu aplici corecturile la timp. Vulnerabilitățile cunoscute sunt publice; cine caută ținte nu are nevoie să-ți „spargă” aplicația cu inteligență, ci doar să verifice dacă ai rămas pe o versiune cu o problemă deja publicată.
Backup-ul care nu a fost niciodată restaurat
Aproape toată lumea „are backup”. Mult mai puțini l-au restaurat vreodată. Un backup netestat este o speranță, nu o garanție. Probleme frecvente: copia se face, dar în același loc cu originalul; a început să eșueze tăcut acum luni; nu conține fișierele încărcate de utilizatori; cheia de criptare e doar pe serverul pierdut; nimeni nu știe pașii de restaurare.
Ce ceri de la o mentenanță serioasă: copii într-un loc separat, alerte când o copie eșuează, o restaurare de probă periodică (pe un mediu separat) și un document scurt cu pașii.
Certificatele și domeniile expiră
Certificatul HTTPS care expiră produce o pagină de avertisment în browser, iar aplicația pare spartă sau nesigură. Certificatele emise de Let's Encrypt, de exemplu, sunt valabile în mod implicit 90 de zile, iar autoritatea recomandă reînnoirea automată cu mult înainte de expirare. Dacă reînnoirea automată s-a oprit (o schimbare de server, o configurare nouă) și nimeni nu are alertă, afli de la clienți. Același lucru se întâmplă cu domeniul, dacă plata de reînnoire e legată de un card expirat sau de un e-mail pe care nu-l mai citește nimeni.
Spațiul, resursele și jurnalele
Discul se umple cu jurnale și fișiere încărcate; baza de date crește; o interogare care mergea bine la o mie de înregistrări încetinește la un milion. Serverul rămâne fără spațiu și aplicația cade fără avertisment. Monitorizarea simplă (spațiu, memorie, timp de răspuns) prinde problema înainte să o simtă utilizatorii.
Secretele și accesele
Parole ale foștilor colaboratori care încă funcționează, chei API puse într-un cod sau într-un mesaj, conturi comune. Mentenanța include rotirea secretelor și curățarea accesului: cine are acces la ce și de ce.
Cunoștințele care pleacă odată cu omul
Dacă singurul care știe cum se publică o versiune sau cum se restaurează baza de date pleacă, aplicația devine o cutie neagră. Documentația scurtă (cum se instalează, cum se publică, unde sunt secretele, cine e contactul) este parte din mentenanță.
Ce înseamnă o mentenanță rezonabilă
Nu e nevoie de un contract complicat. Un ritm sănătos arată cam așa:
- Continuu: monitorizare de bază și alerte (aplicația răspunde, certificatul nu expiră în curând, discul nu e plin).
- Lunar sau trimestrial: actualizări de dependențe și corecturi de securitate, cu teste înainte de publicare.
- Periodic: restaurare de probă din backup, revizuirea accesurilor, verificarea versiunilor care ies din suport.
- La nevoie: răspuns rapid la incidente, cu persoane și canale stabilite dinainte.
- Anual: o privire de ansamblu: ce vom înlocui, ce migrăm, ce documentăm.
Mentenanța mai ieftină este cea făcută mărunt și des. Una făcută o dată la doi ani este, de fapt, un proiect.
Cum decizi cât investești
Pune două întrebări. Cât costă o zi în care aplicația nu merge? Cât de sensibile sunt datele din ea? Pentru un instrument intern folosit de trei oameni, un nivel de bază ajunge. Pentru o aplicație cu clienți, plăți sau date personale, ai nevoie de mai mult, inclusiv de un plan de răspuns la incidente. Dacă prelucrezi date personale, securitatea și notificarea incidentelor sunt și obligații GDPR, nu doar bune practici; verifică cu un jurist.
Un test de cinci minute
Poți răspunde, fără să întrebi pe nimeni, la acestea?
- Când a fost actualizată aplicația ultima dată?
- Când expiră certificatul și domeniul?
- Unde sunt copiile de siguranță și când s-a restaurat ultima dată una?
- Cine primește alerta dacă aplicația cade la miezul nopții?
- Cine poate publica o versiune nouă?
Dacă nu poți, nu ai o problemă acum, dar ai una în așteptare.
ME Digital oferă mentenanță pentru aplicații proprii și pentru software făcut de alții, de la monitorizare și actualizări la teste de restaurare; poți începe cu o discuție pe pagina de contact. Pentru soluții noi, vezi și software custom.