Solidní dražební
stroj pod selhávajícím
povrchem.

Změřeno proti živému webu

Každý redesign vykresluje stejných 218 stránek ze stejného obsahového modelu, česky i anglicky. Čísla níže jsou spočítaná nad hotovým výstupem, stejným způsobem, jakým audit počítal živý web.

Přetečení se kontrolovalo na každé stránce při šířkách 390, 768, 1024 a 1440 — 872 kombinací stránka/šířka na každý redesign, nula chyb. Každý vnitřní odkaz a každý odkaz na obrázek ve všech vygenerovaných stránkách byl ověřen proti souborovému systému; žádný nechybí. Všech šest funguje i s vypnutým JavaScriptem.

Výkon — platí se za značkování, ne za obsah

Přístupnost — 3 / 10

Vyhledávače — 3 / 10

Bezpečnost a soukromí — 4 / 10

Udržovatelnost — kázeň tam je, hygiena ne

Co dodavatel provozuje

Poslední vydaná verze balíku auctify na RubyGems je 1.1.5 z 5. 9. 2023. Hledání repozitáře auctea na GitHubu nevrací žádný výsledek.

Další aukční klienti

Dodavatel na svém webu uvádí u dražební vertikály tyto reference vedle 1. Art Consulting: Aukční dům Sýpka, Galerie Arcimboldo a Aukce aukcí. Jde tedy o jednu platformu obsluhující několik aukčních domů, ne o řešení postavené pro jednoho klienta.

Jak je acb.cz doručováno

Kde je acb.cz pozadu za vlastní platformou

Tohle je nejkonkrétnější nález celé sekce. Dodavatel modernizaci udělal — jen se nedostala ke klientovi.

V projektu Folio jsou turbo-rails i turbolinks současně. Přechod probíhá a není dokončený. acb.cz je na té starší větvi.

Signály, které jsem zachytil

Jsou to signály, ne závěry. Každý má víc možných vysvětlení. Dohromady ale ukazují jedním směrem.

Hlavní rizika pro acb.cz

1. Sdílená fronta priorit. Platforma obsluhuje několik aukčních domů z jednoho kódu. Změna, která se pere s jiným klientem, se neudělá, a ACB nemá jak to ovlivnit. Dva roky nepřevedeného tématu jsou měřitelný důsledek.
2. Útlum vertikály. Dražební engine se veřejně nehýbe, zatímco ostatní produkty dodavatele ano. Riziko není, že systém spadne — funguje. Riziko je, že se přestane rozvíjet a ACB zůstane na verzi, která se rok od roku vzdaluje běžnému standardu.
3. Závislost na neveřejné vrstvě. Enginy pod aplikací jsou pod licencí MIT a dají se převzít. Aplikace nad nimi — konzole, smlouvy, vypořádání, fakturace, živé vysílání — veřejná není. Odchod od dodavatele znamená tuhle vrstvu postavit znovu.
4. Znalost domény je v jedné firmě. Pravidla příhozových kroků, prodlužování konce aukce, DPH, autorské poplatky a vypořádání s komitenty jsou v kódu, ne v dokumentu, který by ACB vlastnilo.
5. Chybějící izolace mezi klienty. Motiv jiného aukčního domu uvnitř stylopisu ACB ukazuje, že hranice mezi klienty není technicky vynucená. Chyba nebo změna u jednoho klienta se může projevit u druhého.
6. Riziko není v ceně. Je v tempu. Systém běží a dražby se konají. Co chybí, je rozvoj — a ten se v účetnictví neprojeví, dokud nezačne odcházet návštěvnost nebo dokud katalog nepřestane být vidět ve vyhledávačích.

Otázky, které mají číselnou odpověď

Nic z toho nejsou obvinění. Jsou to otázky, na které existuje konkrétní odpověď, a ta odpověď rozhoduje víc než cokoli v tomhle dokumentu.

1. Kdy se ACB převede z Turbolinks a Sprockets na to, co už Folio má, a kolik to stojí? Je to jediná změna, která opravuje 585 KB i 763 KB najednou.
2. Běží na acb.cz veřejný auctify, a v jaké verzi? Odpověď určuje, jak drahý by byl případný odchod.
3. Jaká část paušálu je dostupnost a pohotovost, a jaká je vývoj? Ta první klesnout nemá; ta druhá po nasazení AI agentů ano.
4. Kdo obsluhuje aukční večer a kolik lidí zná systém natolik, aby ho zastoupilo?

Jsou to dva různé objekty. Folio je zralý projekt: má CI, vydání každé tři týdny po léta, dopředu zdokumentované zásadní změny, 19 přispěvatelů za rok. Auctify je dobře napsaný engine o 2 500 řádcích, který od poloviny roku 2022 leží: 8 commitů za čtyři roky, bus faktor 1, za celou historii žádné CI.

Nálezy, které rozhodují — a co je ověřené

Přehnaná tvrzení, která jsem zmírnil

Podrobný přezkum Folia hlásí několik kritických nálezů o úniku mezi klienty — samopovýšení na administrátora jiného webu, export cizích záznamů, spuštění skriptu editora na původu webu. Každý je věrohodným čtením skutečného kódu, ale všechny stojí na dvou předpokladech, které z venku neověřím: že acb.cz sdílí jedno nasazení Folia s ostatními aukčními domy, a že Auctea nepřidává autorizaci navrch. Předávám je jako seznam k prověření, ne jako potvrzené díry na acb.cz.

Kde je kód dobrý

Čtyři otázky na dodavatele, každá s číselnou odpovědí

1. Řadí se odesílání příhozů zámkem, a kde? Tahle otázka rozhoduje o nálezu číslo jedna.
2. Je GET /download/:id na nasazení dostupný, a jsou soubory Folia oborované podle webu?
3. Sdílí acb.cz nasazení Folia s ostatními aukčními domy, nebo běží samostatně?
4. Na jaké verzi Rails a Ruby běží živá Auctea, a kdy byly naposledy záplatované?

Podrobné přezkumy (anglicky): souhrn s ověřením · správnost dražby · bezpečnost Auctify · Folio · kvalita a zdraví projektu.

Co to přinese proti dnešku

1. Stažení živého webu do lokálního stromu — 602 stránek HTML v češtině i angličtině (všechny obsahové stránky, všech 99 aukcí, všech 143 článků a vzorek katalogu), oba balíky assetů, písma, ikonový sprite, čtyři sitemapy a HTTP hlavičky. Celý katalog má 152 702 adres; stahovat ho celý by nebylo užitečné ani slušné.
2. Určení stacku z balíků, otisků v názvech souborů, HTTP hlaviček a značkování — ne z tvrzení dodavatele.
3. Každé číslo na této stránce bylo spočítáno skripty nad tím stromem. Kontrastní poměry jsou vypočtené z relativní luminance podle WCAG 2.1, ne odhadnuté okem.
4. Ocenění českého trhu ze zveřejněných ceníků agentur, zveřejněných tarifů hostingů, ceníku Auctea a z analýzy Ministerstva vnitra nad 830 veřejnými ICT zakázkami. Odhady jsou označené jako odhady.
5. Návrh cílové architektury podle domény, pak nakreslení a ověření diagramů.
6. Šestinásobná přestavba celého webu z jednoho obsahového modelu, aby byly ty návrhy porovnatelné stránku po stránce.

Úplné pracovní podklady: technický audit a rozbor nákladů na českém trhu, oba včetně zdrojů.