PHP code audit

Weten wat je in huis hebt, voordat je erover beslist.

Een code audit beantwoordt de vraag die niemand binnen het project objectief kan beantwoorden: hoe gezond is deze codebase eigenlijk? Geen onderbuikgevoel en geen verkooppraatje, maar meetbare cijfers plus de context om ze te begrijpen.

Investering

Vanaf € 2.500

Doorlooptijd

5 tot 10 werkdagen

Reactietijd

1 werkdag

Vaste prijs op basis van codebase-omvang, vooraf afgesproken. Voor applicaties boven de 100.000 regels maken we een aparte offerte.

Herken je dit?

Je leverancier zegt dat het goed zit

Misschien klopt dat. Maar de partij die de code schrijft is niet de partij die er onafhankelijk over kan oordelen. Een audit door een derde geeft je een gesprekspositie.

Schattingen lopen structureel uit

Als kleine wijzigingen steeds langer duren dan begroot, is dat vrijwel altijd technische schuld. Een audit maakt zichtbaar waar die schuld zit en wat hem afbetalen kost.

Je neemt software over

Bij een overname, fusie of leverancierswissel wil je weten wat je erft voordat het van jou is.

Je wilt weten of het onderhoudbaar blijft

Voor investeringsbeslissingen: kan dit systeem de komende vijf jaar mee, of moet er gerekend worden op vervanging?

Onze aanpak

De audit draait op een kopie van de code in een geïsoleerde omgeving. Er verandert niets aan je productieomgeving en er wordt geen code aangepast.

1

Statische analyse

PHPStan op oplopende niveaus, aangevuld met PHPMD en PHP_CodeSniffer. Dit levert harde cijfers: hoeveel typefouten, hoeveel te complexe methodes, hoeveel schendingen van standaarden.
2

Beveiliging & dependencies

Composer-audit op bekende kwetsbaarheden, controle op SQL-injectie- en XSS-patronen, omgang met secrets, en de status van de PHP-versie zelf.
3

Architectuur & testdekking

Hoe is de code opgedeeld, waar zitten circulaire afhankelijkheden, en hoeveel van de bedrijfslogica is daadwerkelijk getest?
4

Handmatige beoordeling

Tools vinden patronen, geen bedoelingen. Een ervaren PHP-developer leest de kritieke onderdelen zelf en beoordeelt of de gevonden signalen er in dit systeem echt toe doen.
5

Rapport & gesprek

Je krijgt een geschreven rapport plus een gesprek van een uur waarin we het doornemen — desgewenst samen met je huidige team of leverancier.

Wat je krijgt

Auditrapport met een managementsamenvatting van maximaal twee pagina's
Meetwaarden per categorie: kwaliteit, beveiliging, testdekking, complexiteit
Bevindingen geprioriteerd naar risico, elk met geschatte hersteltijd
Concreet verbeterplan voor de eerste drie maanden
Presentatiegesprek van een uur, ook geschikt voor niet-technische beslissers

Wie het werk doet

PHP.nl is het Nederlandse PHP-platform, geen bureau. Aanvragen worden gekoppeld aan een specialist uit het eigen netwerk; Serff Webdevelopment is de vaste uitvoerende partner voor grotere trajecten. Je weet vóór ondertekening wie het werk doet en spreekt die persoon zelf.

Alle code, tests en documentatie blijven in jouw repository. Elke fase levert op zichzelf werkende, overdraagbare software op — ook als je besluit het vervolg zelf of met een andere partij te doen.

Veelgestelde vragen

Welke tools gebruiken jullie?

PHPStan voor statische analyse (we rapporteren op welk niveau de code schoon is), PHPMD voor complexiteit en code smells, PHP_CodeSniffer voor codestandaarden, Composer audit voor kwetsbare dependencies, en Rector om te bepalen hoeveel van een eventuele upgrade automatiseerbaar is. Welke cijfers eruit komen staat letterlijk in het rapport, inclusief de gebruikte configuratie — zodat je het later zelf kunt herhalen.

Moeten wij toegang geven tot productie?

Nee. We hebben alleen de broncode nodig, plus indien mogelijk het databaseschema zonder gegevens. De analyse draait lokaal in een geïsoleerde omgeving. Een geheimhoudingsverklaring tekenen we standaard.

Is het rapport begrijpelijk zonder technische achtergrond?

De samenvatting wel: die vertaalt de bevindingen naar risico, kosten en urgentie. Daarachter zit een technisch deel dat je huidige team of leverancier direct kan oppakken.

Wat als de audit uitwijst dat het goed zit?

Dan weet je dat, met cijfers erbij. Dat is een prima uitkomst en gebeurt regelmatig. We verkopen geen vervolgtraject dat er niet hoort te zijn.

Wat kost het?

Vanaf € 2.500 voor een codebase tot ongeveer 100.000 regels, met een doorlooptijd van 5 tot 10 werkdagen. De prijs staat vast voordat we beginnen.