Applicaties bouwen met AI gaat snel.
Wij bewaken de kwaliteit: beveiliging, tests, documentatie, architectuur en meer.
Doorlopende, geautomatiseerde controles voor ontwikkelteams, op bewijs. We lezen je code en het bewijs uit je eigen CI, alleen met leesrechten, en laten per onderdeel zien wat bewezen is en wat niet. Wij controleren, jullie bouwen.
AI helpt ons de code lezen, vaste scans doen de rest, en elke bevinding wijst naar zijn bewijs: een bestand en een regel, een CI-rapport of een scanresultaat. Wij zijn verantwoordelijk voor de controle. We repareren niets: jullie bouwen en bepalen zelf wat je oplost.
Op uitnodiging. We vragen alleen leesrechten op je code.
Binnenkort laten we met een korte demonstratie zien hoe een controle eruitziet.
Waarom nu
Met AI-assistenten bouwt een team sneller dan ooit. Maar code is nog geen product. Een product is ook een architectuur die houdt, tests die bewijzen dat het werkt, beveiliging en documentatie.
AI versnelt het schrijven. De rest moet bijblijven, en hoe hoger het tempo, hoe sneller het achterloopt. Een controle met de hand, eens per jaar, haalt dat niet. Een geautomatiseerde controle bij elke nieuwe versie wel. Zo ziet ontwikkelen er straks uit, en daar beginnen we nu mee.
- Het team bouwt sneller met AI. Reviewen en testen houden dat tempo niet vanzelf bij.
- De pipeline is groen, maar niemand kan zeggen welke tests er draaiden voor de release van vorige week.
- Een klant stuurt een vragenlijst over de Cyberbeveiligingswet. Het antwoord zit verspreid over tickets, pipelines en hoofden.
- De documentatie liep al achter. Met elke snelle wijziging loopt hij verder achter.
Wat we controleren
De vier waar het meestal begint, elk met zijn bewijs. Daaronder alles wat we bekijken.
-
Beveiliging
Geheimen in de code en de geschiedenis, onderdelen met bekende lekken, riskante code en configuratie.
-
Tests
Unit- en end-to-end-tests, aangetoond met de rapporten uit je eigen CI, gekoppeld aan de commit en de release.
-
Documentatie
Gemeten aan een vaste catalogus van wat een onderhoudbare applicatie nodig heeft: aanwezig, dun of ontbrekend.
-
Codekwaliteit en architectuur
Complexiteit, de bestanden die steeds veranderen, verouderde onderdelen en kennis die bij één persoon zit.
Alles wat we bekijken
Twaalf onderdelen. In de pilot gaan we op een deel diep in; van de rest laten we zien wat er is en wat ontbreekt.
- Code
- Kwaliteit, complexiteit, hotspots en dode code
- Beveiliging
- Geheimen, kwetsbare onderdelen en de bekende risico's uit de OWASP-lijst
- Meer hierover: Beveiligingsscan
- Wet- en regelgeving
- AVG, cookies, licenties, de Cyberbeveiligingswet en toegankelijkheid
- Meer hierover: AVG en cookies
- Documentatie
- Aanwezig, dun of ontbrekend, naast een vaste catalogus
- Kwaliteit
- Tests en testdekking, bewezen via je eigen CI
- Optimalisatie
- Prestaties, kosten en verouderde onderdelen
- Architectuur
- De structuur, hoe onderdelen samenwerken, technische schuld
- Meer hierover: Technische schuld
- Onderhoudbaarheid
- Runtimes en frameworks zonder updates, lockfiles, het updatebeleid
- Meer hierover: Afhankelijkheden
- Data
- Het datamodel, bewaartermijnen, backups en herstel
- Proces en oplevering
- Hoe vaak je releaset, de doorlooptijd en de CI zelf
- AI-risico's
- Verborgen instructies in je code, en instructiebestanden voor AI-assistenten
Zo lees je het bewijs
- Door jullie getest, door ons gecontroleerd
- Het CI-rapport hoort bij deze commit, de tests slaagden, en wij liepen het na.
- Door jullie gemeld, niet gecontroleerd
- Er is een bewering of een rapport, maar het hoort niet bij deze commit of is niet na te gaan.
- Niet bewezen of gefaald
- Geen bewijs, of het bewijs laat zien dat het faalt. Altijd met de reden.
- Niet van toepassing
- Het onderdeel speelt niet bij deze applicatie.
Zo werkt de pilot
Vier stappen. Je zit nergens aan vast: we willen eerst leren wat dit voor jullie waard is.
-
Je krijgt een uitnodiging
Meld je aan met het formulier. Past je applicatie, dan nodigen we je uit in een eigen werkplek. Daar lees je in gewone woorden wat we doen en wat niet, en ga je akkoord.
-
Je koppelt je code, alleen lezen
Je geeft leesrechten op je repository en je CI, op GitHub, GitLab, Bitbucket of Azure DevOps. We kunnen niets wijzigen, en we veranderen nooit iets aan je code.
-
De eerste controle start vanzelf
Zodra je code gekoppeld is, lopen de scans en de inspectie automatisch. In je werkplek zie je elke controle met al zijn onderdelen en bevindingen, alleen met bewijs, een stoplicht per onderwerp en hoe het zich over de tijd ontwikkelt.
-
We vragen wat het je waard is
In de chat van je werkplek vragen we wat je ervan vond, wat het nuttigst was, wat beter moet, en wat het je waard zou zijn. Daar komt later de prijs uit.
Voor welke applicaties, en wat we niet doen
Webapplicaties met code in Python, TypeScript of JavaScript. Daarin gaan we diep, en daar beginnen we.
Je code staat op GitHub, GitLab, Bitbucket of Azure DevOps.
We kijken ook naar je publieke site, alleen lezend: de cookiemelding en trackers vóór toestemming, de privacyverklaring, beveiligingsheaders, TLS, security.txt, externe scripts en verouderde bibliotheken. We stoppen bij het eerste teken van een kwetsbaarheid en gaan nooit dieper: het is geen aanval en geen pentest.
Is je applicatie in PHP, Java, C# of een andere taal geschreven? Dan past hij nog niet in de pilot.
- Backend
-
- Python: Django, FastAPI, Flask
- Node.js: Express, NestJS
- TypeScript en JavaScript
- Frontend
-
- React en Next.js
- Vue en Nuxt
- Angular
- Svelte
Wat we niet doen
- Je code veranderen: we lezen alleen
- Je tests zelf draaien: we lezen het bewijs uit je eigen CI
- Je site aanvallen of er een pentest op doen, of er persoonsgegevens uit halen
- Bouwen, testen of releasen: dat doen jullie
- Beloven dat je compliant of gecertificeerd bent
Wat je van ons kunt verwachten
- Alleen lezen
- We vragen leesrechten op je repository en je CI, niets meer. Je trekt ze zelf weer in wanneer je wilt.
- Bewijs bij elke bevinding
- Een bestand en een regel, een CI-rapport bij een commit, of een scanresultaat. Wat niet te controleren is, komt niet in je overzicht.
- Een live overzicht voor elke rol
- Een stoplicht per onderwerp voor de directie, de gevolgen voor product en beheer, en voor developers precies waar het zit en wat je eraan kunt doen.
- Geheimen blijven geheim
- Een wachtwoord of sleutel die we vinden, laten we niet zien en gaat nooit naar een AI-model. We raden je aan het te vervangen.
Wat je altijd houdt
- Je code, in je eigen repository
- De regie: jullie bouwen, testen en releasen
- Je overzicht van wat we controleerden, zolang we samenwerken
- Een lijst die zegt wat de EU verlaat
- Een team dat je vragen beantwoordt
- Geen prijs die we je opleggen: eerst vragen we wat het je waard is
Wat je waarschijnlijk wilt weten
Wat kost het?
We noemen nog geen prijs, omdat we eerst willen horen wat dit voor jullie waard is. Dat vragen we je nadat de eerste controle gedraaid heeft, in de chat. Je zit nergens aan vast.
Gebruiken jullie AI?
Ja, en dat zeggen we graag. Vaste scans doen het meeste werk, zonder AI. AI leest daarnaast de code door, en elke bewering moet naar een bestand, een regel of een rapport wijzen, anders komt hij niet in je overzicht. Wij zijn verantwoordelijk voor de controle.
Krijgt een AI-model onze geheimen te zien?
Nee. Wachtwoorden en sleutels die de scan vindt, gaan nooit naar een AI-model, en bestanden zoals .env slaan we over. Vinden we een geheim, dan raden we je aan het te vervangen.
Draaien jullie onze tests?
Nu nog niet. We lezen het bewijs uit je eigen CI, zoals GitHub Actions, GitLab CI of Azure Pipelines: welke tests draaiden, op welke commit, en of ze slaagden. Een bewering zonder rapport telt als niet bewezen.
Er werkt al een team aan onze software. Wat betekent dit voor hen?
Dat ze bewijs krijgen voor hun werk. Wij controleren, zij bouwen, testen en releasen. Bij elke bevinding staan bestand en regel, zodat een developer meteen ziet waar het over gaat.
Waarom een pilot?
Omdat we eerst willen leren wat jullie nodig hebben en wat het waard is. Jullie zien alles wat we controleren, wij horen jullie eerlijke mening.
Aanmelden voor de pilot
De pilot is op uitnodiging. Meld je aan, dan kijken we of je applicatie past en mailen we je. Je koppelt je repository met leesrechten, de eerste controle start vanzelf, je ziet wat er gecontroleerd en bewezen is, en daarna vragen we wat het je waard is. Heb je eerst een vraag? Stel hem in het bericht hieronder.
Ons team
Leest elke aanmelding en elke vraag
Ons team leest wat je stuurt en antwoordt per mail. Een gesprek volgt alleen als je erom vraagt: met de mensen die het werk doen, niet met een verkoper.