Lab

Čo je v nich

• Quvanto

  Účtovníctvo pre tri právne subjekty. FastAPI nad PostgreSQL, výpisy sa čítajú cez pdfplumber, faktúry vznikajú ako PDF cez WeasyPrint aj s by-square QR kódom. Platby odchádzajú buď ako SEPA XML vo formáte pain.001.001.03 na import do internetbankingu, alebo priamo cez platobné API banky, kde sa prístup k účtu aj zadanie platby vybavia jedným overením: celá dávka z jednej obrazovky a s jedným podpisom.

• OZORApp

  PWA pre tridsaťjeden ľudí na festivale v Maďarsku, kde nie je signál: PHP bez databázy, stav v súboroch a service worker, ktorý appku otvorí aj bez pripojenia. Kto si označí sety, dostane upozornenie, keď sa mu dva prekryjú — aj s tým, o ktoré vystúpenia ide. A porovnanie lineupu s tým, čo naozaj počúva v Spotify — nič sa nepridá samo, len sa to ponúkne.

• Objatie

  Dvaja partneri si nezávisle nastavia očakávania naprieč témami vzťahu a appka im ich potom odkrýva tému po téme — vždy len to, čo si už odhalili navzájom. Laravel 11 bez build kroku, na dvoch doménach z jedného kódu, dáta v PostgreSQL a celý priebeh sa dá prejsť anonymne, bez účtu. AI komentár k výsledku dostane len názvy osí a hrubé pásmo, nikdy surové odpovede.

• Inzerátor

  Predáva na Bazoši: nafotíte tovar, model ho rozpozná, cez našu vlastnú vyhľadávaciu službu dohľadá trhovú cenu a napíše slovenský inzerát; vy ho potvrdíte a appka ho zverejní. Model volá tú istú bránu ako všetko ostatné, takže appka nedrží kľúč k žiadnemu poskytovateľovi. A keďže Bazos blokuje IP adresu hostingu, prácu robí démon doma, ktorý nemá otvorený jediný port dovnútra a úlohy si preberá cez notifikáciu z databázy.

• Health Bro

  FastAPI backend nad PostgreSQL, dostupný len cez VPN. Zbiera dáta z prsteňa a z Garminu a spája ich s tým, čo hodinky nevidia: doplnky, tréningy, laboratórne výsledky, ciele. Z toho skladá stav pripravenosti na dnešok — či ísť naplno, alebo cúvnuť. Testovacieho kódu je zhruba toľko čo produkčného a každé varovanie padá ako chyba.

Čo nás to naučilo

Učili sme sa postupne a každá z nich na inej vrstve.

OZORApp nás naučila, že „offline-first" nie je o vypnutej sieti, ale o sieti, ktorá klame: na maďarskej EDGE sieti sa volanie na server ani nesplnilo, ani neodmietlo — len viselo, takže service worker donekonečna čakal na odpoveď a aplikácia sa nenačítala vôbec, hoci ju mal človek celú v cache. Odvtedy nemáme v žiadnom projekte sieťové volanie bez vlastného timeoutu.

Inzerátor nás naučil čítať prekážku správne: keď WAF na strane Bazosu blokuje IP adresu hostingu, zlá odpoveď je prevŕtať dieru do domácej siete; správna je otočiť smer a nechať démona počúvať na databázovom kanáli.

Health Bro nás naučil, že meno poľa nie je kontrakt — pole s menom, ktoré sľubovalo sedem dní, potichu nosilo päťdesiatdeväť a objem dát posielaných modelu narástol na stotridsať kilobajtov skôr, než si to niekto všimol.

Objatie nás naučilo, že chyba nemusí byť v kóde: deploy nahrával len časť repozitára, takže registrácia, ktorá ležala v nenahranom súbore, fungovala lokálne a v ostrej prevádzke padala na päťstovku.

A účtovníctvo nás naučilo to najdrahšie: kód nikdy nebol to najťažšie. Bankový súhlas expiruje zhruba každý deň, kým prístupový token žije mesiace — token sa teda vesele obnovuje nad súhlasom, ktorý je už mŕtvy, banka vráti chybu, ktorá o súhlase nepovie ani slovo, a vy hľadáte chybu vo svojom kóde. V dokumentácii to nenájdete. Nájdete to večer pred splatnosťou odvodov, keď dávka, ktorá minulý mesiac prešla, zrazu neprejde.

Čo nás to naučilo

Skôr než to išlo naostro, dali sme vlastný návrh na adversariálne review štyrom expertom. Našli cestu, ktorou mohol agent vyniesť vlastné prihlasovacie údaje, a overili, že naozaj funguje — v našom nástroji, na ktorý sme sa práve chystali spoľahnúť. Opravili sme to, fix overili a sandbox okolo utiahli: default-deny egress, read-only súborový systém, odobraté právomoci. Poučenie platí všeobecne: allowlist nástrojov, ktorý stráži schopnosť, ale nestráži cestu, je celá trieda zraniteľností. Odvtedy predpokladáme, že každé „prečítaj“ znamená „prečítaj čokoľvek“. Tú dieru u nás nenašiel nikto cudzí. Našli sme ju my, vo vlastnom návrhu, skôr než stihla niečo znamenať.

Čo nás to naučilo

Nesťahujte DNS, DHCP a VPN naraz. Je to lákavé, lebo je to jeden večer namiesto troch, a je to presne tá cesta, na konci ktorej ladíte resolver cez VPN, ktorá na tom resolveri visí. Poskladajte ich za sebou a starú cestu držte nažive, kým sa nepresunie posledný klient — nie kým si myslíte, že sa presunul. A ešte jedno: keď je router jediný resolver v sieti, je to jediný bod, ktorý zhasne úplne všetko. My na to máme samostatné alert pravidlo, lebo raz nám tichá zmena resolvera odstrihla riadenie domácnosti a hodinu sme hľadali úplne inde.

Čo nás to naučilo

Audit, ktorý k tomu patril, odhalil, že časť našich záloh bola len atrapa — spustila sa a neobnovila nič. Prišli sme si na to sami, opravili to a odvtedy testujeme obnovy, nie zálohy. Záloha, ktorú ste nikdy neobnovili, nie je záloha — je to presvedčenie. Nás to poučenie nestálo nič, lebo sme si poň išli. Väčšinou stojí všetko.

Čo nás to naučilo

Merali sme, lebo sme si mysleli, že nočný beh je pomalý kvôli linke. Nebol. Deväť desatín nočného behu je skenovanie miliónov nezmenených súborov na zdroji; samotný prenos je zlomok, lebo hore ide rádovo gigabajt zmien. Keby sme neboli merali, boli by sme mesiac ladili prijímač, ktorý sa nudí. Druhá vec je rovnako dôležitá: táto zostava prežije kompromitáciu jadra siete, ale neprežije kompromitáciu stroja, z ktorého sa zálohy riadia. Hranicu systému treba napísať rovnako presne ako jeho schopnosti, inak si ju čitateľ domyslí väčšiu, než je.