Özel Yazılım

Özel yazılım geliştirme bir özellik listesiyle değil, yapılan işin kendisiyle başlar. Kimin harekete geçtiğini, süreci neyin başlattığını, hangi bilginin gerektiğini, kararın nerede verildiğini, hangi durumun değiştiğini, istisnanın kime döndüğünü ve işin tamamlandığının nasıl anlaşıldığını inceleriz. Aynı sorun bazen gereksiz bir adımı kaldırarak, veriyi düzelterek, mevcut bir ürünü yapılandırarak ya da iki sistemi güvenilir biçimde bağlayarak çözülebilir. Kod yazmak seçeneklerden biridir; peşinen verilmiş cevap değildir.

Yap ya da satın al değerlendirmesinde hazır ürünleri, lisans ve çıkış koşullarını, yapılandırma derinliğini, entegrasyon erişimini, güvenliği, erişilebilirliği, veri taşınabilirliğini, tedarikçiye bağımlılığı ve toplam işletim maliyetini birlikte ele alırız. Süreç yaygın ve iyi tanımlıysa hazır ürün daha doğru olabilir. Mevcut platform güçlü ama belirli bir yolculuk eksikse genişletme yeterli kalabilir. Özel yazılım; kanıtlanmış bir iş akışı, alan modeli, entegrasyon sınırı veya ürün deneyimi mevcut seçeneklerle temiz biçimde kurulamıyor ve yaratacağı değer bakım yükünü karşılıyorsa anlamlıdır.

Yazılı ürün sınırı; kullanıcıları, rolleri, yolculukları, özellikleri, veriyi, raporları, entegrasyonları, ortamları, cihazları, dilleri, erişilebilirlik hedefini, veri geçişini, eğitimi, kabulü, yayını, fikrî hakları ve canlı sonrası sorumluluğu adlandırır. Keşif, prototip, asgari uygulanabilir ürün, üretim sürümü ve sürekli işletim birbirinden ayrılır. MVP, belirli bir ürün riskini sınayabilecek en küçük tutarlı bütündür; bütün hayalin ucuza teslimi veya temel güvenlik ve kurtarma davranışlarını ertelemenin bahanesi değildir.

Kapsam ve bağımlılıklar doğrulanmadan benimsenme, gelir, verimlilik, uyumluluk, güvenlik, kesintisiz çalışma veya kesin bitiş tarihi vaadi vermeyiz. Kabul edebileceğimiz şey gözlenebilir davranıştır: belirli roldeki kullanıcı tanımlı işi tamamlar, doğru kural doğru durumu değiştirir, veri mutabakatı tutar, yetkisiz işlem reddedilir ve işletim ekibi belirlenmiş arızayı görüp kurtarabilir. Ticari sonuçlar, yazılımın varlığına mal edilmez; yayın sonrasında kayıtlı başlangıç değeriyle karşılaştırılarak ölçülür.

Bakımı yapılabilir bir sistem, kurumun yaptığı işi doğru adlandırır. İşin sahipleriyle birlikte önemli aktörleri, kayıtları, olayları, kuralları, durumları ve değişmemesi gereken ilkeleri tanımlarız. Benzer görünen kavramlar farklı sorumluluk taşıyorsa ayrılır; aday müşteri, müşteri, hesap, sözleşme ve kullanıcı aynı şey değildir. Bir durum değişikliğini kimin yapabildiği ve hangi kanıtı bıraktığı açıktır. Bu alan modeli; arayüz dili, veri, API, test, rapor ve işletim kararları için ortak referans olur.

Sonucu etkileyen her alan için ana kaynağı, sahibi, hassasiyeti, güncelliği, doğrulama kuralı, değiştirme yetkisi, saklama süresi ve çakışma davranışı belirlenir. Hesaplanan değerlerin formülü ve kaynak zamanı görünür kalır. İçe aktarma ve veri geçişi; eşleme, dönüşüm, reddedilen kayıtlar, mutabakat ve geri dönüş planıyla yürütülür. Dosyanın başarıyla yüklenmesi, verinin doğru taşındığını kanıtlamaz. Üretim verisi de yetkili ve ölçülü bir koruma planı olmadan geliştirme ortamına kopyalanmaz.

Mimariyi moda değil, gerçek kısıtlar belirler. İşlem sınırlarını, beklenen yükü, gecikme ihtiyacını, çevrim dışı davranışı, coğrafi ve sözleşmesel kısıtları, kurtarma hedeflerini, ekibin yetkinliğini, dağıtım modelini ve değişiklik maliyetini birlikte değerlendiririz. İyi sınırları olan tek bir uygulama, erken kurulmuş mikroservislerden daha güvenli ve sahiplenilebilir olabilir. Bazı bileşenlerde yönetilen hizmet, özel geliştirmeden daha sorumlu bir seçimdir. Seçim gerekçesi ve reddedilen alternatifler kayıt altına alınır.

Her entegrasyon bir sözleşmedir. API, webhook, kuyruk veya dosya alışverişi için yön, kimlik, sürüm, şema, doğrulama, yetkilendirme, yinelenen işlem güvenliği, kota, beklenen gecikme, yeniden deneme, sıralama, hata yönetimi, gözlenebilirlik ve sorumlu kişi yazılır. OpenAPI bir HTTP arayüzünü anlaşılır kılabilir; fakat iş anlamını ve güvenilirlik koşulunu tek başına çözmez. Sağlayıcı ve tüketici davranışları; kısmi hata, çift teslim, bayat veri ve erişilemeyen bağımlılık dâhil sınırda sınanır.

Teslimat sırası, risk ve kullanılabilir sonuç üzerinden kurulur. Dikey bir parça; tek bir gerçek yolculuk için arayüzü, kuralı, veriyi ve entegrasyonu uçtan uca birleştirir. Böylece yanlış varsayımlar, birbirinden kopuk ekran ve altyapı işlerine göre daha erken görünür. İş listesinde amaç, kabul, bağımlılık ve açık kararlar yer alır. Tasarım prototipi etkileşim sorusunu, teknik deneme belirsizliği cevaplar; ikisi de üretime hazır yazılım diye sunulmaz. Gösterimlerde hata ve yetki sınırları da yer alır.

Kaynak kod, üzerinde anlaşılan depoda; inceleme, izlenebilir değişiklik ve korumalı yayın kurallarıyla tutulur. Test dengesi ürün riskine göre kurulur: kurallar için birim ve bileşen testleri, arayüzler için sözleşme testleri, sınırlar için entegrasyon testleri, kritik yolculuklar için uçtan uca testler; gerekliyse veri geçişi ve performans sınamaları. Testlerin geçmesi yalnızca belirli sürüm ve ortam için kanıttır; kusur veya zafiyet bulunmadığını ispatlamaz.

Derleme ve yayın yolu, kodu ortama özgü yapılandırmadan ayırır. Gizli bilgiler kaynak koda girmez; erişim, yenileme ve acil kullanım sorumlulukları tanımlanır. Bağımlılıklar bilinçli seçilir, uygun biçimde sabitlenir veya sınırlandırılır, taranır ve kontrollü bir yoldan güncellenir. Geliştirme, test, hazırlık ve üretim ortamları arasındaki farklar kayda geçer. Sürekli entegrasyon ve dağıtım; onay, paket kökeni, ortam koruması ve geri dönüş de açıksa el işçiliğindeki sapmayı azaltır.

Değişiklikler incelenip geri alınabilecek büyüklükte tutulur. Veri tabanı evrimi, eski ve yeni uygulama sürümlerini, tamamlayıcı veri işini, doğrulamayı ve geri dönüşün sınırlarını hesaba katar. Özellik bayrağı, kademeli açılış veya paralel çalışma gerçekten risk azaltıyorsa kullanılır. Performans, yalnızca sentetik bir puandan değil, temsili kullanıcı yolculuklarından ve hizmet göstergelerinden izlenir. Alınan kararlar, istisnalar, bilinen teknik borç ve kalan risk kabul sırasında görünür kalır.

Güvenlik gereksinimleri; ürünün kullanıcılarından, verisinden, işlemlerinden, güven sınırlarından ve makul kötüye kullanım biçimlerinden çıkar. Tehdit modeli kimlik, yetki, girdi, iş mantığı, veri saklama, iletişim, yönetici erişimi, bağımlılıklar ve kurtarmayı izler. NIST Güvenli Yazılım Geliştirme Çerçevesi, güvenlik uygulamalarını farklı geliştirme yaşam döngülerine yerleştirmek için ortak bir yapı sağlar. Hangi uygulamayı ve kanıtı kullandığımızı açıklarız; çerçeveyi anmak bütün maddelerin bağımsız olarak belgelendiği anlamına gelmez.

Web uygulamalarında OWASP ASVS'nin yazılı sürüm, kapsam ve seviyesi, genel güvenlik sözünü sınanabilir gereksinimlere çevirebilir. Uygulanabilir maddeleri tasarım, uygulama ve testlerle ilişkilendirir; neyin kontrol edildiğini, önemli bulguların nasıl kapatıldığını, hariç tutulan alanları ve kalan riskleri kaydederiz. Bağımsız sızma testi, sertifikasyon, mevzuat değerlendirmesi, sürekli güvenlik izleme ve olay müdahalesi teklifte açıkça yazılmadıkça ayrı kapsamdır. Hiçbir sistem için mutlak güvenlik iddiası kurulmaz.

Mahremiyet, erişilebilirlik ve çok dilli kullanım ürünün çekirdeğindedir. Veri minimizasyonu, saklama, silme, denetim izi, test verisi, analitik ve destek erişimi; sorumlu müşteri ve gerekli uzmanlarla ele alınır. Kararlaştırılan WCAG 2.2 hedefi; yapı, klavye kullanımı, odak, hata, durum mesajı, karşıtlık, yeniden akış, kimlik doğrulama ve temsili işlere yansır. Otomatik tarama bunun yalnızca bir bölümüdür. Diller, sağdan sola düzen, tarih, ad, sayı ve karma yönlü içerik dâhil gerçek arayüz olarak kontrol edilir.

Güvenilirlik, kullanıcının gerçekten yaşadığı hizmet göstergeleriyle tarif edilir. Erişilebilirlik oranı, gecikme, başarılı işlem, veri güncelliği, kuyruk yaşı veya kurtarma; farklı yolculuklarda farklı ağırlık taşıyabilir. SLI gözlenen değeri, SLO iç hedefi, SLA ise sonuçları yazılı sözleşme taahhüdünü ifade eder; biri diğerinin yerine kullanılmaz. Arıza biçimleri, izleme kapsamı, yedek, geri yükleme, kapasite ve bağımlılık sınırları hedefle birlikte yazılır.

Kabul sınamaları temsili roller, veri ve ortamlarla yapılır. Uygunsa doğru yolculuğu, geçersiz girdiyi, reddedilen işlemi, yinelenen isteği, çalışmayan entegrasyonu, geciken işi, eksik geçişi, mobil ve klavye kullanımını, yerelleştirmeyi, yavaşlamayı ve kurtarmayı kapsar. Kanıt, gereksinimi sınanan paket ve sonuçla ilişkilendirir. Kusur listesinde yayın engelleri, kabul edilmiş sınırlamalar ve sonraki iyileştirmeler ayrılır. Gösterim değerlidir ama yazılı kabulün yerine geçmez.

Yayın planı; paketi, ortamı, yapılandırmayı, gizli bilgileri, veri hareketini, alan adı ve sertifika değişikliklerini, iletişimi, bakım aralığını, karar yetkisini ve geri dönüşü adlandırır. Veriyi bozabilecek veya önemli işi durdurabilecek adımlar önceden prova edilir. Taşınan kayıtların toplamları ve örnekleri karşılaştırılır; arka plan işleriyle entegrasyonlar gözlenir. Geri dönüş sınırı açık yazılır: dış sisteme gönderilmiş bir işlem veya geri döndürülemez veri değişikliği, teknik geri almadan farklı bir telafi gerektirebilir.

Devir paketi; depo ve kaynak erişimini, fikrî hak koşullarını, mimari ve karar kayıtlarını, alan modelini, veri sözlüğünü, arayüz sözleşmelerini, ortam envanterini, bağımlılıkları, derleme ve yayın yolunu, testleri, bilinen riskleri, işletim kılavuzlarını ve yönetici işlemlerini kapsar. Sahiplik imzalı teklife göre kurulur; açık kaynak ve üçüncü taraf hakları kendi lisanslarına tabidir. Yeniden üretilebilir derleme bilgisi, hesap sahipliği ve işletim bağlamı olmayan bir kaynak kod klasörü tam devir değildir.

Sürekli işletim ayrı ve yazılı bir sorumluluktur. İzleme, olay ve problem yönetimi, bağımlılık bakımı, zafiyetlere karşılık verme, yedekleme, geri yükleme denemeleri, kapasite, maliyet incelemesi ve belirli değişiklik hakkını içerebilir. Saatler, kanallar, yanıt beklentileri, yükseltme yolu ve hariçler açık olur. Geliştirme işi; kendiliğinden 7/24 hizmet, sabit yanıt süresi, çalışma süresi taahhüdü, sınırsız değişiklik veya süresiz destek doğurmaz.

Yapay zekâ özellikleri ayrıca sınırlandırılır. Kullanılan model ve bilgi kaynakları, veri yolu, yetkiler, değerlendirme örnekleri, insanın karar yetkisi, ret ve geri dönüş davranışı, kayıt, maliyet ve değişiklik kontrolü tanımlanır. Model; arama, sınıflandırma, çıkarım veya taslakta yardımcı olabilir. Fakat görünmez ana kayıt hâline gelmez ve varsayılan olarak geri döndürülemez, yüksek etkili kararı tek başına almaz. Doğruluk, erişilebilirlik ve sağlayıcı davranışı evrensel vaat olarak değil, kararlaştırılmış bağlamda ölçülür.