Uno scanner automatico confronta il vostro sistema con un catalogo di difetti noti e li segnala in fretta e a basso costo: è ottimo per librerie vecchie, configurazioni sbagliate, porte aperte. Non capisce cosa la vostra applicazione dovrebbe fare, quindi non vede i difetti di logica — il cliente che vede i dati di un altro, lo sconto applicabile due volte. Quelli li trova solo una persona. Il miglior test usa lo scanner per la copertura e la persona per la profondità.
Due strumenti, due punti ciechi
Non è una gara fra buono e cattivo: è una divisione del lavoro. Uno scanner automatico è instancabile e velocissimo nel confrontare il vostro sistema con tutto ciò che è già catalogato come difetto noto. Una persona è lenta e costosa in confronto, ma capisce cosa la vostra applicazione dovrebbe fare, e quindi vede quando fa qualcosa che non dovrebbe. Ciascuno è cieco dove l'altro vede.
| Tipo di difetto | Scanner | Persona |
|---|---|---|
| Libreria con falla pubblicata | Sì, subito | Sì, ma più lento |
| Configurazione sbagliata | Sì | Sì |
| Intestazioni di sicurezza mancanti | Sì | Sì |
| Cliente che vede i dati di un altro | Raramente | Sì: è il suo terreno |
| Sconto applicabile due volte | No | Sì |
| Difetti concatenati | No | Sì |
| Falsi allarmi | Molti | Pochi: verifica prima di segnalare |
Il problema dei falsi allarmi
Uno scanner, per non farsi sfuggire nulla, segnala anche ciò che potrebbe essere un problema ma spesso non lo è nel vostro caso specifico. Il risultato è un report lungo, in cui i pochi problemi veri sono mescolati a molti falsi allarmi. Prenderlo per oro colato porta a due errori opposti: farsi prendere dal panico per cose innocue, o — più comune — smettere di leggerlo perché «tanto segnala sempre tutto», e così perdersi quello vero. Filtrare i falsi allarmi è lavoro umano, ed è metà del valore di un test serio.
La combinazione che funziona
- Lo scanner passa per primo, e copre in fretta tutto il catalogo dei difetti noti: è la rete a maglie larghe.
- La persona parte dai risultati dello scanner, ne scarta i falsi allarmi e verifica quelli veri.
- Poi la persona fa ciò che lo scanner non può: prova la logica dell'applicazione, concatena i difetti, ragiona come chi vuole entrare.
- Il risultato finale unisce la copertura dello strumento e la profondità dell'analisi, senza il rumore dell'uno né la lentezza dell'altra su ciò che si automatizza.
Domande frequenti
- Se compro un buon scanner, posso fare a meno del test manuale?
- Coprite bene i difetti noti, che è importante, ma restate ciechi sui difetti di logica, che sono spesso i più gravi. Uno scanner non saprà mai che nella vostra app uno sconto si può applicare due volte, perché non sa cosa sia uno sconto nel vostro business. Per quello serve una persona che capisca l'applicazione.
- Gli scanner con l'intelligenza artificiale non colmano il divario?
- Stanno migliorando e sono un ottimo supporto, ma la logica di un business specifico — le sue regole, le sue eccezioni — resta difficile da dedurre dall'esterno senza conoscerlo. Al momento l'AI amplifica quello che una persona può fare, non lo sostituisce sui difetti di significato. Il modo giusto di usarla è come strumento nelle mani di chi capisce l'applicazione.
- Posso usare uno scanner da solo, come primo controllo?
- Sì, ed è un buon inizio: esistono scanner accessibili e le nostre guide mostrano come controllare da soli alcune cose. Il consiglio è di non prendere il report alla lettera: consideratelo una lista di cose da verificare, non un verdetto. Le voci gravi confermate meritano attenzione; le altre vanno lette con spirito critico.