לעסקים
וייב קודינג לעסק: מה לבדוק לפני שסוגרים עם מי שבונה לכם
רשימת בדיקה לפני שסוגרים עם מי שבונה לכם אתר או אפליקציה עם AI: בעלות על הקוד והחשבונות, גיבויים, סיסמאות, בדיקות, ומה קורה אם הבונה נעלם.
היום כל אחד יכול לבנות אתר או אפליקציה עם AI בסוף שבוע, וזה דבר טוב. הבעיה מתחילה כשהגרסה מהסוף שבוע מתחילה לשמור הזמנות, תשלומים ופרטים של לקוחות אמיתיים. באוקטובר 2026 התפרסמה בביזפורט כתבה תחת הכותרת "5,000 אפליקציות בלי הגנות מספקות: הסיכון העסקי של הווייב קודינג". אני בונה עם AI כל יום, ולכן אני חושב שכדאי לדעת מה לשאול לפני שסוגרים עם מי שבונה לכם ככה. גם אם זה אני.
האם וייב קודינג בטוח לעסק?
זה תלוי פחות בכלי ויותר במי שבודק את מה שהכלי כתב. מחקר של Veracode משנת 2025 בדק יותר ממאה מודלי שפה על 80 משימות קוד, ומצא שבכ־45 אחוז מהמקרים הקוד שנוצר הכניס חולשת אבטחה. הדוח שלהם מיולי 2026 מתאר תמונה דומה: המודלים השתפרו בכתיבת קוד, אבל לא בכתיבת קוד בטוח.
ויש גם דוגמאות מהשטח. ב־2025 פורסמה חולשה (CVE-2025-48757) באפליקציות שנבנו ב־Lovable, אחד הכלים הפופולריים לבנייה עם AI: הגדרות הרשאה חסרות בבסיס הנתונים אפשרו לאנשים זרים לקרוא ולשנות נתונים. Lovable חלקה על הדיווח וטענה שהגנה על הנתונים היא באחריות כל לקוח. בשביל בעל עסק זה בדיוק העניין: אם אף אחד לא אחראי, אתם האחראים.
האם תראו משהו עובד לפני שמשלמים?
השאלה הזו מסננת הרבה. מי שבונה עם AI יכול להראות גרסה שעובדת מהר, ולכן אין סיבה לשלם על מסמך אפיון לפני שראיתם מסך אחד. אצלי הגרסה הראשונה לא עולה כסף, ומדברים על תשלום רק אחרי שראיתם אותה והחלטתם להמשיך. גם אם תבחרו מישהו אחר, בקשו לראות משהו שעובד מוקדם. זה מראה לכם איך הוא עובד, ולא רק מה הוא מבטיח.
מי הבעלים של הקוד ושל החשבונות?
אתם. וכדאי שזה יהיה כתוב, לא רק נאמר. הקוד צריך לשבת במאגר שרשום עליכם, והחשבונות שהמערכת רצה עליהם צריכים להיות שלכם: הדומיין, האחסון, בסיס הנתונים, ספק המייל, וכל שירות בתשלום. אם הדומיין רשום על הבונה, והוא לא עונה לטלפון בעוד שנתיים, יש לכם בעיה שאף קוד לא יפתור.
כשבניתי מערכת הזמנת חדרים למרפאת שילוב, המערכת עלתה מההתחלה על החשבונות של הקליניקה: השרתים, בסיס הנתונים והיומנים. אני בניתי, הם הבעלים, ואת קוד המקור והגישה אני מעביר כשרוצים. אין נעילה אליי.
איפה נשמרים הסיסמאות והמפתחות?
לא בתוך הקוד, ולא בהודעת וואטסאפ. מפתחות גישה לשירותים, כמו בסיס הנתונים או חברת הסליקה, צריכים לשבת במקום שנועד לזה אצל ספק האחסון, ולהיות ניתנים להחלפה. שאלו את הבונה מה קורה אם מפתח דולף: מי מחליף אותו, ותוך כמה זמן. ושאלו גם מה נשאר שלו על המחשבים שלכם. אצלי הכלל הוא שלא נשאר כלום: לא החשבון שלי ולא הקבצים שלי.
מה קורה לנתונים אם משהו נשבר?
בקיץ 2025 סוכן AI של Replit מחק בסיס נתונים של מערכת בייצור, באמצע תקופה שבה נאמר לו במפורש לא לשנות כלום. Replit הגיבה בהבטחה להפריד אוטומטית בין סביבת הפיתוח לסביבת הייצור. הלקח לעסק פשוט: מערכת עם נתונים אמיתיים צריכה גיבוי שיושב מחוץ למערכת, וסביבת בדיקה נפרדת שבה מנסים כל שינוי לפני שהוא מגיע ללקוחות.
בשילוב יש גיבוי לילי לאחסון של הקליניקה, וכל שינוי נבדק קודם על נתוני דמה ורק אחר כך מגיע לשוכרים אמיתיים. אם הבונה לא יודע להגיד לכם איפה הגיבוי נמצא ומתי בדקו לאחרונה שאפשר לשחזר ממנו, אין לכם גיבוי. יש לכם תקווה.
איך יודעים שהבונה בודק את מה שה־AI כתב?
שואלים אותו. האם יש בדיקות אוטומטיות? מי קורא את הקוד לפני שהוא עולה? מה קורה כשבדיקה נכשלת? מי שעובד ברצינות עונה על זה בקלות ובפרטים. במערכת של שילוב יש היום 54 קובצי בדיקות.
ואם במערכת עצמה יש AI שמבצע פעולות, שאלו מה הוא רשאי לעשות לבד. בשילוב ה־Claude של הקליניקה יכול להכין פעולה כמו הזמנה או ביטול, אבל כל פעולה כזו מחכה לאישור מפורש של אדם לפני שהיא קורית.
מה עושים אם הבונה נעלם?
מתכננים את זה מהיום הראשון. מסירה טובה כוללת את קוד המקור, את כל החשבונות על שמכם, ותיעוד שמסביר למי שיבוא אחריו מה המערכת עושה ולמה היא בנויה ככה. מפתח אחר צריך להיות מסוגל להמשיך מאותה נקודה בלי לנחש. בקשו לראות את התיעוד עוד לפני הסוף, לא רק במסירה.
רשימת בדיקה קצרה
לפני שסוגרים, כדאי לקבל תשובה ברורה על כל אחת מהשאלות האלה:
- ראיתי גרסה שעובדת לפני שהתחייבתי לשלם?
- הקוד יושב במאגר שרשום עליי, או שאקבל אותו מתי שארצה?
- הדומיין, האחסון, בסיס הנתונים וספק המייל רשומים עליי?
- המפתחות והסיסמאות שמורים מחוץ לקוד, ואפשר להחליף אותם?
- יש גיבוי מחוץ למערכת, ומישהו בדק שאפשר לשחזר ממנו?
- יש סביבת בדיקה נפרדת מהמערכת שהלקוחות שלי משתמשים בה?
- יש בדיקות אוטומטיות, ומישהו קורא את הקוד לפני שהוא עולה?
- אם יש במערכת AI, הוא צריך אישור של אדם לפני פעולה שמשנה משהו?
- יש תיעוד שמפתח אחר יכול להמשיך ממנו?
- אני יודע כמה יעלה להחזיק את המערכת כל חודש, ועל שם מי החשבונות? (על זה כתבתי ב־מה קובע כמה עולה לבנות אתר או אפליקציה עם AI.)