Release-Z entra nell'ambiente sintetico di produzione. La pagina pricing usa il nuovo schema, la documentazione conserva il vecchio endpoint e Modulo-F inoltra una richiesta mentre SegnaleConsenso è sconosciuto. Il rollback ripristina il bundle, ma non la migrazione già avviata. Il team non sa quale oggetto sia fonte e quale prova chiuda l'incidente.
Cantiere-194 non contiene software o persone. Repository-R è vuoto. CMS-C non ha contenuti. API-A non espone dati. Modulo-F non riceve recapiti. Database-D non contiene record. Il candidato deve mantenere questi vuoti, definire dipendenze e fermarsi dove servono un proprietario, un segreto, una decisione privacy o una prova reale.
Netguru, ScienceSoft, Light IT, Codica e Zoondia pubblicano offerte di sviluppo SaaS con combinazioni diverse di prodotto, engineering, cloud, QA, integrazioni e supporto. Nessuno ha eseguito Cantiere-194. La posizione misura la vicinanza dello scope pubblico al collaudo, non la qualità del codice o un futuro risultato.
Una consegna tecnica non finisce con il deploy. Finisce quando il cliente controlla repository e account, comprende contratti e dati, ripete test e rollback, riapre un incidente, ricostruisce un ambiente e continua il lavoro senza dipendere dalle credenziali o dalla memoria del fornitore.
theStacc pubblica ed edita IT-194 e vende software e servizi di marketing. Non compare nella graduatoria. Le CTA possono portare a theStacc, ma questo interesse economico non attribuisce punti. Nessun fornitore ha pagato per essere incluso o per ricevere una posizione. Abbiamo letto pagine ufficiali di Netguru, ScienceSoft, Light IT, Codica e Zoondia, due risorse ufficiali OWASP, due pagine ufficiali GitHub Docs, una guida ufficiale Cloudflare sui rollback, una pagina del Garante per la protezione dei dati personali e una pagina MDN sulla Content Security Policy. Le dodici fonti erano raggiungibili il 1 settembre 2026. Le pagine dei provider provano soltanto lo scope dichiarato dai rispettivi autori. Non dimostrano qualità, persone assegnate, sicurezza, conformità, disponibilità, performance, assistenza italiana, consegna, portabilità o risultati. Non abbiamo richiesto preventivi, acquistato servizi, prenotato call, verificato portfolio, contattato clienti, aperto repository, CMS, cloud, domini, DNS, account, ambienti, pipeline, database, API, codebase, segreti, log, alert, ticket o backup. Non abbiamo scritto codice, creato branch, eseguito test, scansioni, migrazioni, deploy, rollback, restore, incident response o trasferimenti. Non abbiamo inviato moduli, impostato cookie, raccolto consenso, elaborato dati o verificato vulnerability. Prezzi, pacchetti, tempi, clienti, casi, testimonianze, premi, certificazioni, linee di codice, uptime, velocità, vulnerabilità, incidenti, utenti, conversioni, demo, signup, pipeline, ricavi, ROAS, ROI e promesse sono esclusi. Cantiere-194 è interamente sintetico. Usa identificatori, stati e valori vuoti; non contiene azienda SaaS, persona, account, dato, segreto, codice, infrastruttura, transazione, consenso, vulnerabilità, incidente o risultato reale o inventato. IT-189 possiede SEO organica, fonti prodotto per l'indice, URL, crawl, canonical, collegamenti e Search Console. IT-190 possiede profili locali, Maps, listing e recensioni. IT-191 possiede social organico e community. IT-192 possiede regia multicanale, paid, email, CRM, account campagna, budget, eventi e attribuzione. IT-193 possiede ricerca d'interfaccia, inventario visibile, navigazione, percorsi, wireframe, sistema visivo, stati responsive, specifiche di accessibilità, diritti e sorgenti di design. IT-194 possiede architettura tecnica, CMS, repository, codice, API, database, form funzionanti, consenso implementato, sicurezza, ambienti, pipeline, release, rollback, incidenti e manutenzione. Nessun responsabile SaaS, architetto software, amministratore cloud, specialista sicurezza, legale italiano, responsabile privacy, specialista accessibilità, titolare dei diritti o revisore italiano madrelingua ha approvato la pagina. Non è assegnato un proprietario di manutenzione. La pagina resta needs_human_review e non è autorizzata alla pubblicazione automatica.
La risposta breve
Netguru apre per strategia SaaS, sviluppo, API, cloud, sicurezza, QA e manutenzione dichiarati. ScienceSoft segue con consulting, sviluppo, integrazioni, testing e supporto SaaS. Light IT, Codica e Zoondia completano il gruppo con scope differenti. Tutti devono provare repository, dati, consenso, ambienti, release, rollback, incidenti, sorgenti ed exit italiana.
- Netguru: team che vogliono interrogare strategia, prodotto, software, API, cloud, QA, sicurezza e manutenzione nello stesso pilot
- ScienceSoft: aziende che vogliono verificare consulting, architettura, sviluppo, integrazione, testing, migrazione e supporto
- Light IT: team che vogliono mettere discovery, architettura, engineering, QA e supporto davanti a un collaudo tecnico unico
- Codica: aziende che vogliono interrogare discovery, UI/UX, sviluppo SaaS, quality assurance, DevOps e manutenzione mantenendo i confini
- Zoondia: organizzazioni che vogliono interrogare SaaS, API, integrazioni, cloud, testing, sicurezza e manutenzione come perimetro da restringere
Come si verifica un'agenzia di sviluppo web per SaaS?
Una agenzia diventa verificabile quando requisiti, codice, accessi, dati, ambienti e decisioni producono prove ripetibili. Cantiere-194 non misura throughput o uptime. Controlla se un secondo team può spiegare API-A, bloccare Modulo-F, riprodurre Incidente-Q, eseguire ProvaRollback e proseguire la manutenzione con account del cliente.
ContrattoCodice lega requisito, fonte prodotto, tavola di IT-193, comportamento, dipendenza, esclusione, criterio, owner e versione. Una schermata approvata non autorizza l'implementazione di una feature mancante. Se il requisito tecnico è sconosciuto, il ticket conserva il blocco anziché ricevere una soluzione plausibile scritta dal provider.
RegistroArchitettura descrive componenti, confini, chiamate, dati, identità, storage, cache, code, fornitori, failure mode e owner senza disegnare un sistema fittizio. Decisioni e alternative mantengono data, motivazione, conseguenza e revisore. Un diagramma commerciale non sostituisce la topologia effettiva o i limiti osservati.
CMS-C conserva modello contenuto, ruoli, workflow, versioni, preview, pubblicazione, rollback editoriale, export e dipendenze. IT-193 specifica presentazione e componenti; IT-189 governa fonti organiche, URL e indexability; IT-194 realizza schema, rendering, autorizzazioni e comportamento. Un CMS scelto dall'agenzia non diventa automaticamente proprietà del cliente.
Repository-R deve appartenere all'organizzazione concordata. RegistroAccessi conserva identità individuale, ruolo minimo, scopo, approvatore, MFA da verificare, inizio, scadenza, ultima revisione, recovery e revoca. GitHub documenta ruoli di repository per le organizzazioni. La pagina aiuta a formulare la matrice, ma non prova la configurazione di Cantiere-194.
RegoleContributo separano branch, review, check richiesti, merge, eccezione e rilascio. GitHub Docs descrive ruleset applicabili a branch o tag. Il pilot chiede chi può modificarli, chi approva una deroga e quale log conserva la decisione. Una pull request aperta non dimostra review indipendente o test superati.
InventarioDipendenze registra package, versione, fonte, licenza, uso, owner, aggiornamento, incompatibilità, advisory e ritiro. Nessun numero di vulnerabilità viene inventato. Un alert genera triage, non una conclusione automatica. Il team deve distinguere presenza, raggiungibilità, impatto, mitigazione, test e decisione responsabile.
API-A ha contratto versionato con operazione, schema, autenticazione, autorizzazione, limite, errore, idempotenza da decidere, dati, retention, logging e deprecazione. La documentazione non è il runtime. Consumer, mock, test e osservazione devono indicare quale versione è stata verificata senza esporre segreti o record personali.
Il dossier depreca un campo dell'API mentre pricing, docs e signup dipendono dalla forma precedente. MappaConsumer deve trovare servizio, job, UI, integrazione, test, documentazione e monitoraggio interessati. IT-194 aggiorna codice e contratto tecnico; IT-193 modifica le specifiche; IT-189 e IT-192 gestiscono le superfici di propria competenza.
Migrazione-D separa sorgente, destinazione, schema, mapping, validazione, duplicato, errore, ordine, stop, backup da verificare, rollback e reconciliation. Database-D resta vuoto. Il provider non può chiamare zero un dato mancante o dichiarare completa una migrazione senza denominatore e regole approvati.
Modulo-F parte da scopo e decisioni approvate. Conserva campo, tipo, obbligatorietà, validazione client e server, destinazione, autorizzazione, rate limit da definire, messaggio, errore, retry, logging e cancellazione. IT-193 progetta etichette e stati; IT-194 implementa trasmissione e protezioni; IT-192 governa il handoff commerciale.
SegnaleConsenso rimane sconosciuto nel pilot. Il Garante mantiene materiali dedicati ai cookie e al consenso. Cantiere-194 usa la fonte per chiedere inventario e comportamento, non per interpretare la legge. Privacy e legale decidono finalità, base, testo e strumenti; sviluppo implementa soltanto il contratto approvato.
ContrattoConsenso collega categoria, finalità, strumento, stato, versione, area, momento, evento consentito e revoca. Il server non presume che il banner abbia funzionato. Client, backend, tag e destinazioni devono ricevere e rispettare lo stesso stato secondo specifica, con prove che non contengono identità reali.
MatriceDati elenca campo, origine, finalità, classificazione da approvare, autorizzazione, cifratura da verificare, storage, transito, log, export, retention e cancellazione. Dire che i dati sono nel cloud non descrive il confine. Il provider deve mostrare account, regione, servizio e responsabilità senza copiare segreti nel dossier.
RegistroSegreti vieta credenziali in codice, ticket, chat e file di consegna. Conserva tipo, sistema, owner, gestore, ambiente, accesso, rotazione, scadenza e revoca senza registrare il valore. Il collaudo usa placeholder. Un secondo team deve sapere come richiedere e ruotare un segreto, non riceverlo in chiaro.
OWASP ASVS offre una base per verificare controlli tecnici di sicurezza delle applicazioni web. Cantiere-194 la usa come catalogo di domande e criteri, non come certificazione di un provider. Versione, livello applicabile, requisito, metodo, ambiente, evidenza, difetto e retest devono essere decisi da specialisti responsabili.
OWASP Top 10 è un documento di consapevolezza sui rischi delle applicazioni web. Non sostituisce threat model, inventario, review o test. RegistroRischi collega asset, confine, attore, scenario, controllo, owner, verifica e residuo. Nessuna vulnerabilità viene attribuita a un candidato senza osservazione.
MDN documenta Content Security Policy come meccanismo HTTP per controllare risorse che il browser può caricare. La fonte consente domande su direttive, reporting e compatibilità. Non prova che una policy sia corretta per Cantiere-194. Configurazione, rollout, violazioni osservate e fallback richiedono test nell'ambiente reale.
MatriceAmbienti separa locale, sviluppo, integrazione, staging e produzione soltanto se esistono davvero. Per ciascuno registra account, configurazione, dominio, dati ammessi, segreti, build, deploy, accessi, servizi e reset. Copiare produzione in staging non è un requisito predefinito e può creare problemi di dati e diritti.
ParitàAmbienti non significa identità assoluta. Significa differenze dichiarate e verificabili. Versioni, feature flag, servizi esterni, dataset, capacità e policy vengono confrontati prima del release candidate. Un test verde in un ambiente diverso non dimostra comportamento in produzione.
ContrattoBuild conserva commit, dipendenze, comando, runtime, artefatto, provenance da verificare, check, log e retention. L'agenzia deve ricostruire lo stesso artefatto secondo il processo concordato senza usare il laptop di una persona. Cantiere-194 non afferma riproducibilità finché un secondo runner non la prova.
QualityGate collega requisito a test unitario, integrazione, contratto, end-to-end, accessibilità implementata, sicurezza o prova manuale quando pertinente. Ogni esito conserva versione, ambiente, input sintetico, atteso, osservato e owner. Coverage, numero di test e percentuale di successo restano indisponibili, non vengono riempiti.
OrdineRelease contiene artefatto, ambiente, finestra, dipendenze, migrazioni, feature flag, approvatori, smoke test, stop, rollback e comunicazione. Una approvazione di design non autorizza il deploy. Una pipeline capace di rilasciare non dimostra che la versione sia pronta o che tutti i consumer accettino API-A.
Release-Z introduce un errore nel ritorno fra signup e docs. Incidente-Q conserva rilevamento, versione, ambiente, ultimo cambiamento, impatto sconosciuto, owner, stop, prova, decisione, correzione, retest e comunicazione. Il provider non inventa utenti colpiti, severità o violazione per riempire il report.
ProvaRollback distingue bundle, configurazione, feature flag, database, coda e integrazioni. Cloudflare documenta rollback di deployment per Pages; questa capacità riguarda il proprio prodotto e non garantisce il recupero dell'intero sistema. Il piano deve dichiarare cosa torna indietro, cosa resta avanti e quale verifica chiude ogni parte.
Una migrazione non viene annullata implicitamente quando il frontend torna alla versione precedente. PianoRipristino conserva backup, checkpoint, compatibilità, ordine, stop e reconciliation da verificare. Se il rollback dati è rischioso, il team sceglie una correzione in avanti soltanto con decisione registrata e test responsabili.
Osservabilità collega evento tecnico, log, metrica, trace, alert, soglia da approvare, ambiente, retention e accesso. Il dossier non crea traffico o baseline. Un alert deve portare a una query ripetibile e a un owner; una dashboard senza definizione non prova salute, causa o impatto economico.
RunbookIncidente contiene prerequisiti, diagnosi, comando o azione controllata, risultato atteso, rischio, escalation, comunicazione e chiusura. Nessun comando reale entra nella pagina. Un secondo ingegnere deve poter seguire la logica con accesso autorizzato, fermarsi sui campi vuoti e aggiornare il runbook dopo il retest.
RegistroManutenzione separa difetto, aggiornamento, debito tecnico, richiesta prodotto, sicurezza e lavoro operativo. Ogni voce ha fonte, gravità da decidere, dipendenza, owner, criterio, ambiente, release e verifica. Il contratto indica copertura ed esclusioni senza promettere disponibilità o tempo di risposta non pubblicato.
PacchettoTecnico include requisiti, decisioni, diagrammi, repository, history, dipendenze, licenze, CMS, API, schema dati, migrazioni, ambienti, pipeline, test, sicurezza, runbook, incidenti, rollback, backup, accessi e backlog. Screenshot, zip o accesso temporaneo non sostituiscono sorgenti e amministrazione istituzionale.
RegistroProprietà assegna a dominio, DNS, cloud, repository, package registry, CMS, database, monitoraggio e strumenti CI titolare, amministratori, fatturazione, recovery, supporto, export e revoca. Account personali del provider creano una dipendenza che il collaudo deve trovare prima della chiusura.
ProvaExit si svolge prima della revoca. Un secondo team clona Repository-R con accesso del cliente, ricostruisce un ambiente, esegue i check, depreca API-A nel contratto, blocca Modulo-F, riproduce Incidente-Q e spiega ProvaRollback. Le lacune restano ticket assegnati; non vengono dichiarate risolte per chiudere il progetto.
Solo dopo la ripresa il cliente revoca persone, token, chiavi e integrazioni del provider secondo decisioni approvate. Copie residue, log e dati seguono istruzioni legali e privacy. Il passaggio non richiede che design o marketing diventino reparti dello sviluppatore: ogni owner conserva i propri oggetti.
Prove di adeguatezza al settore da richiedere
- Legare requisito, fonte prodotto, design, comportamento, dipendenze e criteri prima del codice.
- Mantenere repository, cloud, CMS, database, domini e strumenti sotto proprietà istituzionale concordata.
- Documentare architettura, API, dati, migrazioni, dipendenze, licenze, segreti e consumer.
- Separare design del form, decisione privacy, implementazione del consenso ed evento di marketing.
- Definire ambienti, configurazioni, dati ammessi, build, quality gate, release e stop.
- Trattare sicurezza come requisiti, threat model, evidenze, difetti e retest, senza certificazioni presunte.
- Provare rollback di codice, configurazione, migrazione e integrazione come oggetti distinti.
- Conservare incidenti, logiche di diagnosi, manutenzione, backup e backlog senza metriche inventate.
- Consegnare sorgenti, history, account, licenze, runbook e problemi in formati utilizzabili.
- Far riprendere il sistema a un secondo team prima di revocare persone, token e integrazioni.
Come abbiamo valutato i fornitori
L'ammissione richiedeva una pagina ufficiale raggiungibile il 1 settembre 2026 con una offerta esplicita di sviluppo SaaS. Directory, classifiche, soli portfolio, staff directory e pagine di sviluppo generico senza un perimetro SaaS visibile sono stati esclusi.
I criteri totalizzano cento per cento: pertinenza SaaS e fonti quindici; architettura, CMS, repository e API venti; dati, form, consenso e integrazioni quindici; sicurezza e quality gate quindici; ambienti, release, rollback e incidenti venti; sorgenti, manutenzione ed exit quindici. Sono pesi editoriali, non misure di qualità eseguita.
Netguru apre per una pagina SaaS che collega strategia, sviluppo software, API, cloud, sicurezza, QA e manutenzione. ScienceSoft segue con consulting, sviluppo, integrazione, testing, migrazione e supporto SaaS visibili. Claim su velocità, risultati, clienti, riconoscimenti e sicurezza garantita sono esclusi.
Light IT pubblica sviluppo SaaS, discovery, architettura, engineering, QA e supporto. Codica rende visibili product discovery, UI/UX, sviluppo SaaS, QA, DevOps e maintenance. Zoondia pubblica product engineering, SaaS, API, integrazioni, testing, cloud, sicurezza e manutenzione. Ogni scope deve essere confermato nella proposta italiana.
OWASP, GitHub, Cloudflare, Garante e MDN non assegnano posizioni. Forniscono riferimenti per requisiti di sicurezza, ruoli, ruleset, rollback, cookie e CSP. Non certificano i candidati e non sostituiscono architetto, amministratore cloud, security, legale, privacy, accessibilità e revisione italiana.
Prezzi, tempi, dimensione del team, certificazioni, case study, testimonianze, metriche, performance e risultati non hanno influenzato l'ordine. Accessi, persone, architettura proposta, licenze, responsabilità, supporto, dati e prova d'uscita possono cambiare completamente la scelta.
| Criterio | Peso | Che cosa ha contato |
|---|---|---|
| SaaS e fonti | 15% | La pagina documenta sviluppo per prodotti SaaS e uno scope tecnico interrogabile. |
| Architettura, CMS, repository e API | 20% | Decisioni, accessi, contratti, dipendenze, review e ownership restano verificabili. |
| Dati, form, consenso e integrazioni | 15% | Schema, migrazioni, finalità, campi, stati, destinazioni e consumer conservano owner distinti. |
| Sicurezza e qualità | 15% | Requisiti, threat model, dipendenze, test, evidenze, difetti e retest evitano claim generici. |
| Ambienti, release e recupero | 20% | Build, configurazioni, deploy, stop, rollback, migrazioni e incidenti ricevono prove ripetibili. |
| Manutenzione ed exit | 15% | Sorgenti, account, licenze, runbook, backlog e ripresa indipendente precedono la revoca. |
Ogni fornitore doveva soddisfare gli stessi requisiti minimi prima che la sua posizione venisse presa in considerazione.
- Pagina ufficiale raggiungibile con offerta esplicita di sviluppo SaaS.
- Almeno tre elementi visibili fra discovery, architettura, web, API, cloud, QA, sicurezza, integrazioni o supporto.
- Percorso commerciale diretto del provider senza dipendere da directory o classifica.
- Disponibilità da verificare a separare sviluppo da design, SEO e marketing nel contratto.
- Disponibilità da verificare a consegnare account, sorgenti, dati, runbook, incidenti e backlog a Cantiere-194.
L’elenco dei fornitori analizzato
Le posizioni derivano dalla metodologia pubblicata e dalla data di chiusura delle fonti, non sono una garanzia di risultato. Ogni scheda indica la migliore adeguatezza e il limite che con maggiore probabilità cambia una decisione d’acquisto.
Netguru
Punti di forza documentati
- SaaS diretto.
- Software e API visibili.
- Cloud e QA pubblicati.
- Manutenzione nel catalogo.
Limiti da verificare
- Nessun pilot osservato.
- Account e dati da provare.
- Conformità non dimostrata.
- Italia ed exit aperti.
Netguru apre perché la pagina SaaS rende visibili strategia, sviluppo, web, API, cloud, QA e manutenzione, con sicurezza e accessibilità presenti nel catalogo. La posizione misura ampiezza documentale. Non prova persone, architettura, conformità, qualità, assistenza italiana o risultati.
Consegnate ContrattoCodice con API-A deprecata e Modulo-F bloccato. Il provider deve produrre confini, consumer, owner e criteri senza trasformare un requisito vuoto in una soluzione già approvata. Discovery e strategia non sostituiscono il responsabile prodotto.
Assegnate Repository-R e cloud a account istituzionali del cliente. Fate dichiarare ruoli, ruleset, recovery, segreti, ambienti e quality gate. Lo scope pubblico rende queste domande pertinenti, ma non dimostra che gli accessi o i controlli saranno configurati così.
Rilasciate Release-Z, aprite Incidente-Q e separate rollback del bundle dalla migrazione. ProvaExit richiede a un secondo team build, diagnosi, ripristino e backlog. Maintenance dichiarata non prova copertura, tempi, runbook o portabilità.
Fonti sui fornitori: Netguru, SaaS Development Services
ScienceSoft
Punti di forza documentati
- Offerta SaaS diretta.
- Consulting e sviluppo visibili.
- Integrazioni e testing pubblicati.
- Migrazione e supporto dichiarati.
Limiti da verificare
- Claim commerciali esclusi.
- Repository da contrattualizzare.
- Consenso e sicurezza da verificare.
- Exit non provata.
ScienceSoft è seconda perché la pagina SaaS collega consulting, development, integrations, testing, migration ed evolution o support. Lo scope copre buona parte di Cantiere-194, ma le affermazioni su esperienza, clienti, velocità, costi, certificazioni e risultati sono escluse. Repository, account, consenso, incidenti ed exit richiedono prova.
Fate trasformare la proposta in RegistroArchitettura, ContrattoAPI e PianoMigrazione. Ogni decisione conserva alternativa, conseguenza e owner. Il provider non può importare una architettura di riferimento e chiamarla validata per il prodotto sintetico.
Introducete un mapping dati ambiguo e SegnaleConsenso sconosciuto. Migration e integration devono fermarsi sui campi privi di fonte. Testing conserva input sintetici e denominatori; non produce record o persone plausibili per mostrare una demo completa.
Aprite Incidente-Q dopo Release-Z. Supporto deve dichiarare accessi, copertura, escalation, runbook, artefatti e responsabilità. La pagina ufficiale non prova rollback, restore, tempi di risposta o trasferimento indipendente.
Fonti sui fornitori: ScienceSoft, SaaS Application Development
Light IT
Punti di forza documentati
- SaaS esplicito.
- Discovery e architettura visibili.
- Engineering e QA dichiarati.
- Supporto pubblicato.
Limiti da verificare
- Accessi non provati.
- Security gate da verificare.
- Rollback non documentato.
- Italia ed exit aperti.
Light IT è terza perché la pagina SaaS pubblica discovery, sviluppo, architettura, testing o QA e supporto per prodotti SaaS. Il perimetro è pertinente, ma non prova account, repository, qualità, sicurezza, trattamento dati, deployment, rollback o assistenza italiana. Claim su risultati e delivery sono esclusi.
Consegnate requisiti incompleti e chiedete una mappa delle decisioni, non una stima basata su assunzioni nascoste. Discovery deve esporre dipendenze fra CMS-C, API-A, Modulo-F e Database-D e assegnare le domande al proprietario corretto.
Fate fallire un contract test per API-A e un quality gate per Modulo-F. Il team deve conservare versione, ambiente, input, atteso, osservato e owner senza cambiare il test per far passare la build. Sicurezza e privacy mantengono review separate.
Richiedete PacchettoTecnico e ProvaExit. Il nuovo team deve ricostruire ambiente e runbook con account del cliente. La fonte non dimostra ownership, licenze, history, backup o revoca delle integrazioni.
Fonti sui fornitori: Light IT, SaaS Development Services
Codica
Punti di forza documentati
- SaaS diretto.
- Product discovery visibile.
- QA e DevOps pubblicati.
- Manutenzione dichiarata.
Limiti da verificare
- Design da separare.
- Security scope da provare.
- Rollback aperto.
- Account ed exit non dimostrati.
Codica è quarta perché la pagina SaaS e il catalogo mostrano product discovery, UI/UX, SaaS development, QA, DevOps e maintenance. IT-193 possiede le sorgenti di design; IT-194 possiede implementazione e operation. La fonte non prova sicurezza, account, migrazioni, rollback, assistenza italiana o exit. Promesse e risultati sono esclusi.
Scomponete discovery, design, sviluppo e DevOps in handoff verificabili. Una tavola approvata entra in ContrattoCodice; non autorizza automaticamente schema dati o integrazione. Ogni passaggio conserva fonte, criterio e persona responsabile.
Assegnate ambienti vuoti e chiedete build, configurazioni, secrets handling, quality gate e release order. DevOps non significa che il provider debba possedere cloud o fatturazione. Account, recovery e revoca restano istituzionali.
Ritirate API-A e simulate Incidente-Q senza dati. Maintenance deve proseguire difetto, dipendenza e retest. ProvaExit fallisce se runner, plugin, registry o documenti restano nell'account privato dell'agenzia.
Fonti sui fornitori: Codica, SaaS Development Services
Zoondia
Punti di forza documentati
- SaaS esplicito.
- API e integrazioni visibili.
- Testing e cloud pubblicati.
- Maintenance dichiarata.
Limiti da verificare
- Pagina orientata al Qatar.
- Italia da confermare.
- Security claim esclusi.
- Rollback ed exit non provati.
Zoondia chiude il gruppo perché la pagina SaaS pubblica sviluppo applicazioni, architettura multi-tenant, API, integrazioni, cloud, data security, testing e maintenance. Lo scope è ampio ma la pagina è localizzata per il Qatar e richiede una verifica italiana più forte. Claim su scalabilità, sicurezza, performance e risultati non ricevono credito.
Chiedete quale entità contrattuale e quale team servirebbero l'Italia. Ogni disciplina del catalogo diventa un deliverable, un owner e una esclusione. La presenza del termine security non prova threat model, controlli, test o responsabilità.
Fate mappare API-A, Database-D e Modulo-F con dati vuoti. Integrazione e multi-tenancy non autorizzano identità, separazione o retention presunte. Il provider deve proporre una prova senza popolare account realistici.
Eseguite Release-Z e ProvaExit con account istituzionali. Il quinto posto riflette la distanza giurisdizionale e il maggiore bisogno di scoping, non qualità inferiore osservata. Supporto, rollback, sorgenti e revoca restano da contrattualizzare.
Fonti sui fornitori: Zoondia, SaaS Application Development
Confronta il flusso di lavoro sulla tua attività
Esamina i servizi gestiti, i controlli di approvazione, le destinazioni di pubblicazione e i limiti dichiarati di theStacc prima di scegliere.
Cinque scope davanti alla stessa release interrotta
Il confronto riguarda soltanto servizi pubblicati e prove necessarie. Codice, sicurezza, performance, incidenti, tempi e risultati non sono stati osservati.
| Fornitore | Modello di erogazione | Ambito documentato | Ideale per | Limite principale |
|---|---|---|---|---|
| Netguru | Product engineering | Strategia, sviluppo, API, cloud, QA e manutenzione | Pilot tecnico ampio | Exit da provare |
| ScienceSoft | Consulting e sviluppo | Consulting, development, integration, testing, migration e support | Migrazione e supporto | Repository aperto |
| Light IT | Sviluppo su misura | Discovery, architettura, engineering, QA e supporto SaaS | Engineering e QA | Rollback da testare |
| Codica | Product development | Discovery, UX, SaaS, QA, DevOps e maintenance | Handoff e operation | Security scope aperto |
| Zoondia | Product engineering | SaaS, API, integrazioni, cloud, testing e maintenance | Perimetro da restringere | Italia da confermare |
Come collaudare sviluppo e recupero senza aprire un SaaS reale?
Cantiere-194 mantiene repository, API, database, form, consenso e ambienti vuoti. Ogni candidato riceve la stessa deprecazione, lo stesso invio bloccato e la stessa release interrotta. La prova osserva contratti, accessi, dati, quality gate, incidenti, rollback e passaggio.
Nessun account produttivo, segreto, record, codice o vulnerabilità entra nel dossier. Un tecnico responsabile deve adattare ogni criterio al sistema reale prima che il pilot tocchi ambienti o dati.
1. Bloccare requisiti e confini
ContrattoCodice collega fonte prodotto, design, comportamento, dipendenze, esclusioni, owner e criterio senza inventare feature.
- Fonte trovata.
- Owner assegnato.
- Vuoto conservato.
- Criterio scritto.
2. Istituzionalizzare account e repository
Cliente, ruoli, ruleset, recovery, registry, cloud, CMS e revoca vengono provati prima dei commit.
- Account cliente.
- Ruolo minimo.
- Recovery provato.
- Revoca prevista.
3. Contrattualizzare API e dati
Schema, consumer, errori, deprecazione, mapping, migrazione, reconciliation e dati ammessi restano versionati.
- Versione nominata.
- Consumer trovato.
- Errore previsto.
- Dato vuoto.
4. Bloccare form e consenso
Campi, finalità, validazione, stato, destinazione, logging e revoca separano design, privacy, marketing e codice.
- Finalità approvata.
- Server verificato.
- Stato sconosciuto bloccato.
- Evento separato.
5. Eseguire security e quality gate
Requisiti, threat model, dipendenze, test, evidenze, difetti e retest precedono qualsiasi claim di sicurezza.
- Requisito applicabile.
- Metodo registrato.
- Difetto assegnato.
- Retest richiesto.
6. Rilasciare con stop osservabile
Commit, build, artefatto, ambiente, migrazione, smoke test, approvatori e stop entrano nello stesso ordine di release.
- Artefatto identificato.
- Ambiente dichiarato.
- Stop possibile.
- Log conservato.
7. Separare rollback e ripristino
Bundle, configurazione, feature flag, database e integrazioni hanno procedure e prove diverse.
- Scope esplicito.
- Dati considerati.
- Reconciliation prevista.
- Chiusura verificata.
8. Far riprendere un secondo team
Il nuovo team ricostruisce ambiente, esegue check, depreca API-A, blocca Modulo-F e prosegue Incidente-Q prima della revoca.
- Sorgenti completi.
- Account recuperabili.
- Runbook eseguibile.
- Backlog consegnato.
Errori che rendono inutile un confronto SEO
- Scrivere codice da una tavola. Una interfaccia approvata non sostituisce requisiti, dati, errori, sicurezza e criteri tecnici.
- Lasciare repository al fornitore. Ownership, ruoli, recovery, ruleset, registry e history devono sopravvivere alla relazione.
- Chiamare documentazione il contratto API. Runtime, schema, consumer, errori, versioni e deprecazione richiedono test e osservazione.
- Migrare senza denominator. Sorgente, mapping, esclusioni, duplicati, errori e reconciliation precedono una dichiarazione di completezza.
- Fidarsi soltanto del banner. Client, backend, tag e destinazioni devono rispettare la decisione approvata sul consenso.
- Mettere segreti nei ticket. Il registro conserva owner, accesso, rotazione e revoca, mai il valore della credenziale.
- Usare OWASP come badge. Standard e awareness guidano requisiti e test; non certificano il provider o il prodotto.
- Confondere staging e produzione. Dati, servizi, configurazioni, feature e policy differenti devono essere dichiarati.
- Rilasciare la migrazione con il bundle. Codice, dati, configurazione e integrazioni possono richiedere stop e rollback distinti.
- Chiudere un incidente senza retest. Correzione, ambiente, versione, osservato e verifica successiva restano nel dossier.
- Consegnare un archivio zip. History, account, registry, pipeline, licenze, runbook, incidenti e backlog restano necessari.
- Revocare prima della ripresa. Un secondo team deve ricostruire e operare il sistema prima di rimuovere accessi e integrazioni.
Domande frequenti
Quale agenzia di sviluppo web scegliere per un'azienda SaaS?
Netguru pubblica lo scope più vicino a Cantiere-194 fra strategia, sviluppo, API, cloud, QA e manutenzione. ScienceSoft segue con consulting, integrazioni, testing, migrazione e supporto. Light IT, Codica e Zoondia restano opzioni da verificare. La scelta finale richiede proposta, persone, account, codice, dati e prova d'uscita.
Che cosa deve contenere un capitolato di sviluppo SaaS?
Il capitolato collega requisiti, architettura, CMS, repository, API, dati, form, consenso, integrazioni, sicurezza, ambienti, build, test, release, rollback, incidenti, manutenzione ed exit. Per ogni oggetto servono owner, versione, accesso, criterio, evidenza ed esclusioni. Sicuro, veloce o scalabile non descrivono una prova.
Chi deve possedere repository e account cloud?
Il contratto deve nominare l'organizzazione titolare e gli amministratori del cliente per repository, registry, cloud, CMS, database, DNS, monitoraggio e CI. Le persone del provider ricevono ruoli minimi, scadenza e revoca. Recovery e fatturazione vanno provati prima dell'uscita, senza account condivisi o credenziali personali.
Come si gestisce una API deprecata?
Versionate schema, operazioni, errori e documentazione, poi inventariate consumer, job, interfacce, integrazioni, test e monitoraggio. Definite periodo e criterio di ritiro con owner reali. Cantiere-194 non presume compatibilità. Ogni consumer deve produrre una prova sulla nuova versione prima che la precedente venga rimossa.
Come si prova una migrazione dati?
Registrate sorgente, destinazione, schema, mapping, duplicati, esclusioni, errori, ordine, stop, backup, rollback e reconciliation. Usate dati sintetici o autorizzati. Completezza e accuratezza richiedono denominatori e regole approvati; un job terminato senza errore non dimostra che tutti i record corretti siano arrivati.
Come si implementa il consenso nei moduli?
Privacy e legale approvano finalità, base, testo, categorie e strumenti. IT-193 progetta stati e comprensione; IT-194 implementa client, server, tag e destinazioni; IT-192 governa eventi e handoff. Un banner visibile non dimostra che backend o integrazioni abbiano rispettato rifiuto, revoca o stato sconosciuto.
Come si valuta la sicurezza applicativa?
Definite asset, confini, threat model, requisiti applicabili, metodo, ambiente, evidenza, difetto, owner e retest. OWASP ASVS e Top 10 aiutano a costruire il piano, ma non certificano l'agenzia. Scansione, review e test osservano aspetti diversi e nessun risultato va generalizzato oltre versione e scope.
Quali ambienti deve consegnare l'agenzia?
Consegnate soltanto gli ambienti richiesti dal sistema reale, con account, configurazione, domini, dati ammessi, segreti, build, deploy, accessi, servizi e reset documentati. Locale, sviluppo, integrazione, staging e produzione non sono automaticamente identici. Ogni differenza che modifica un test o una release deve essere visibile.
Che cosa deve includere un piano di release?
Identificate commit, artefatto, ambiente, configurazione, dipendenze, migrazioni, feature flag, approvatori, quality gate, smoke test, stop, rollback e comunicazione. La pipeline non decide la prontezza. Ogni rilascio conserva versione, esito osservato e owner, mentre errori e campi sconosciuti bloccano il passaggio.
Rollback e restore sono la stessa cosa?
No. Il rollback può riportare codice, configurazione o feature flag a una versione precedente; dati, code e integrazioni possono restare modificati. Il restore usa una copia o un checkpoint secondo un piano distinto. Cantiere-194 richiede scope, ordine, rischio, reconciliation e prova per ogni oggetto prima della chiusura.
Come deve essere gestita la manutenzione?
Separate difetti, dipendenze, sicurezza, debito tecnico, richieste prodotto e operation. Ogni voce conserva fonte, owner, criterio, ambiente, release e retest. Contratto e runbook devono chiarire accessi, copertura, escalation ed esclusioni senza inventare SLA. Il cliente mantiene account, backlog e capacità di assegnare un secondo team.
Che cosa va consegnato alla fine?
Ritirate requisiti, decisioni, diagrammi, repository, history, dipendenze, licenze, CMS, API, schema dati, migrazioni, ambienti, pipeline, test, security evidence, runbook, incidenti, rollback, backup, accessi e backlog. Un secondo team deve ricostruire un ambiente e proseguire Incidente-Q prima della revoca di persone, token e integrazioni.
Fonti e politica editoriale
Consulta le fonti collegate insieme alla metodologia e alla nota dell’editore di questo articolo. Verifica prezzi, funzionalità e condizioni attuali con ogni fornitore; una citazione da sola non dimostra che sia stato svolto un test pratico.
- [01]Netguru, SaaS Development Services
- [02]ScienceSoft, SaaS Application Development
- [03]Light IT, SaaS Development Services
- [04]Codica, SaaS Development Services
- [05]Zoondia, SaaS Application Development
- [06]OWASP, Application Security Verification Standard
- [07]OWASP, Top 10
- [08]GitHub Docs, ruoli nei repository di una organizzazione
- [09]GitHub Docs, ruleset
- [10]Cloudflare Docs, rollback dei deployment Pages
- [11]Garante per la protezione dei dati personali, cookie
- [12]MDN, Content Security Policy
Scegliete chi lascia un sistema riprendibile, non soltanto una release
Eseguite Cantiere-194 con lo stesso repository, la stessa API, lo stesso modulo, lo stesso segnale sconosciuto e la stessa release interrotta. Osservate chi conserva i vuoti, assegna account al cliente, separa codice e dati, registra sicurezza e incidenti, prova rollback e permette a un secondo team di continuare. La pubblicazione resta bloccata fino alle revisioni italiane di SaaS, architettura, cloud, sicurezza, legge, privacy, accessibilità, diritti e lingua. Un deploy riuscito non compensa una API senza consumer, un form che ignora la decisione o un repository che il cliente non controlla.