Lab

Klientske logá vám tu neukážeme. Máme vlastnú infraštruktúru a prevádzkujeme ju s disciplínou firmy, ktorá je desaťkrát väčšia — lebo je to miesto, kde si všetko otestujeme skôr, než by sme vám to navrhli. Každá z týchto vecí beží práve teraz.

Vlastný softvér · v produkcii

Banka, ktorá sa rozpráva s účtovníctvom

Situácia

Tri právne subjekty, tri účtovníctva a človek, ktorý každý mesiac prepisuje bankové výpisy do účtovného programu. Banka má API. Nikto ho nepoužíva, lebo open banking sa predáva bankám, nie firmám, ktoré v nich majú účet.

Čo sme urobili

Účtovný systém sme postavili sami a napojili priamo na banku. Výpisy sa každé ráno o 6:30 stiahnu samy. Platby odchádzajú z jednej obrazovky a s jedným podpisom — nie s podpisom na každú zvlášť. Faktúry sa generujú ako PDF s platobným QR kódom a účtovníčka dostane čistý export vo formáte, ktorý jej program naozaj prečíta.

Výsledok

Výpisy už neprepisuje nikto. Jeden podpis pokryje celú dávku. Tri subjekty, jeden systém — a koniec mesiaca, ktorý zožral celý večer, je dnes obrazovka, na ktorú sa pozriete.

Čo nás to naučilo

Kód nikdy nebol to najťažšie. Najhoršie bolo, že bankový súhlas expiruje zhruba každý deň, kým token žije mesiace. Token sa teda vesele obnovuje nad súhlasom, ktorý je už mŕtvy, a platba padne s chybou, čo vám nepovie nič. V dokumentácii to nenájdete. Nájdete to v produkcii, v najhoršej možnej chvíli — alebo preto, že to už niekto našiel pred vami.

Ako to vyzerá u vás

Koľko hodín mesačne u vás niekto ručne presúva čísla z jedného systému do druhého? Tá robota sa takmer vždy dá zautomatizovať a dôvod, prečo zautomatizovaná nie je, býva takmer vždy netechnický.

Agentizácia · v produkcii

Jedna brána, všetky LLM modely, žiadne shadow AI

Situácia

Modely od piatich rôznych poskytovateľov, niekoľko aplikácií, ktoré ich chcú — a predvolený výsledok: kľúče nakopírované všade, kde bolo treba, žiadny rozpočet, žiadny audit, žiadna predstava o tom, čo odchádza z budovy.

Čo sme urobili

Všetko ide cez jednu bránu. Dvadsaťtri routes, kľúče vydané na projekt, rozpočty na projekt, stopa o tom, čo kam odišlo. Citlivé workloady sú pripnuté na lokálny model, ktorý sa internetu ani nedotkne. Nad tým agenti, ktorí obsluhujú namiesto toho, aby si písali — na crone, bez dozoru, s čítaním povoleným a zápisom až po potvrdení.

Výsledok

Každá aplikácia klope na jedny dvere. Vymeniť poskytovateľa znamená zmeniť konfiguráciu, nie prehrabávať repozitáre. A na otázku „čo sme komu poslali“ existuje odpoveď — presne na tú sa totiž pýta audítor.

Čo nás to naučilo

Skôr než to išlo naostro, dali sme vlastný návrh na adversariálne review štyrom expertom. Našli cestu, ktorou mohol agent vyniesť vlastné prihlasovacie údaje, a overili, že naozaj funguje — v našom nástroji, na ktorý sme sa práve chystali spoľahnúť. Opravili sme to, fix overili a sandbox okolo utiahli: default-deny egress, read-only súborový systém, odobraté právomoci. Poučenie platí všeobecne: allowlist nástrojov, ktorý stráži schopnosť, ale nestráži cestu, je celá trieda zraniteľností. Odvtedy predpokladáme, že každé „prečítaj“ znamená „prečítaj čokoľvek“. Tú dieru u nás nenašiel nikto cudzí. Našli sme ju my, vo vlastnom návrhu, skôr než stihla niečo znamenať.

Ako to vyzerá u vás

Vaši vývojári už teraz lepia kód do chatovacieho okna — len to nevidíte. Jedna brána, kľúče pre každý tím, rozpočty, audit log a citlivá robota pripnutá na model, ktorý zostane vnútri. Prvý krok býva dvojtýždňový audit s písomným verdiktom.

Infraštruktúra · migrácia

Sťahovanie siete za plnej prevádzky

Situácia

Domáci router, ktorý robil DNS, DHCP aj VPN pre všetko, bez akéhokoľvek prehľadu a bez možnosti čokoľvek segmentovať. Vymeniť ho znamená vymeniť tri služby, na ktorých potichu visí každá ďalšia.

Čo sme urobili

Nový router preberal jednu službu po druhej, každú s cestou späť, počas dvoch dní. Najprv DNS, potom DHCP, potom VPN — nikdy naraz. Keď sa na novú VPN presunul posledný klient, tú starú sme zrušili. Nie nechali bežať „pre istotu“. WiFi sme skonsolidovali na spravované AP a hosťovskú aj IoT prevádzku sme oddelili do vlastných segmentov.

Výsledok

Starý router sme fyzicky odpojili dva dni po spustení nového. Používateľom sme nič neoznamovali, lebo nebolo čo. Stará VPN je preč — nie vypnutá, preč.

Čo nás to naučilo

Nesťahujte DNS, DHCP a VPN v jednom okne. Je to lákavé, lebo je to jeden večer namiesto troch, a je to presne tá cesta, na konci ktorej ladíte resolver cez VPN, ktorá na tom resolveri visí. Poskladajte ich za sebou a starú cestu držte nažive, kým sa nepresunie posledný klient — nie kým si myslíte, že sa presunul.

Ako to vyzerá u vás

Rovnaký tvar má aj firma s dvesto ľuďmi: riziko nie je migrácia, riziko je závislosť, ktorú ste si nenakreslili. Skôr než sa niečoho dotkneme, zmapujeme, čo na čom visí, a cutover poskladáme tak, aby sa každý jeden krok dal vrátiť za pár minút.

Monitoring · od nuly

Monitoring, ktorému sa dá veriť o tretej ráno

Situácia

Kopa systémov a žiadna odpoveď na jedinú otázku, na ktorej záleží: beží to celé, a ak nie, čo spadlo prvé?

Čo sme urobili

Prometheus, Grafana a Alertmanager, postavené od nuly. Každá služba je target, dvadsaťjeden alert rules, deväť dashboardov. DNS kontrola skúša reálnu rekurziu, nie to, či je otvorený port. Alerty sa navzájom tlmia, takže mŕtvy resolver zavolá raz, nie štyridsaťkrát.

Výsledok

Štyridsaťosem zo štyridsiatich ôsmich targetov zelených a ani jedna služba, ktorú by nikto nesledoval. A keď už niečo spadne, prvý alert pomenuje príčinu, nie príznaky.

Čo nás to naučilo

Audit, ktorý k tomu patril, odhalil, že časť našich záloh bola len atrapa — nikdy nič neobnovila. Prišli sme si na to sami, opravili to a odvtedy testujeme obnovy, nie zálohy. Záloha, ktorú ste nikdy neobnovili, nie je záloha — je to presvedčenie. Nás to poučenie nestálo nič, lebo sme si poň išli. Väčšinou stojí všetko.

Ako to vyzerá u vás

Otázka nie je, či máte Grafanu. Otázka je, či alert o tretej ráno niečo znamená a či ho ešte vôbec niekto číta. Staviame alert rules s tlmením, aby vás jedna mŕtva závislosť nezobudila štyridsaťkrát a nenaučila tím ignorovať všetky.

Začnite hodinou

Žiadna prezentácia, žiadny discovery workshop, žiadna faktúra. Jedna hodina a rovná odpoveď: toto by sme spravili, toľko to stojí — alebo, na toto nás nepotrebujete.

Ozvite sa