Pull to refresh

Comments 107

Ах, ах, ах, как тут сделать репост 😁

Упс, а почему минус 🙀

Прикольно тут, хоть автору и статье успел плюсануть 😁

Суть оптимизации, в том, что поменяли дефолтное значение AUTO SUSPEND TIME в Snowflake с 10 до 1 минуты?

я надеялся что он потушил весь кластер и никто ничего не заметил :)

а так, да - просто поменял дефолтное значение, но количество бесполезной работы от этого не уменьшилось :(

Или можно (наверно) выделить прокси-машину, чтобы прочие обращались через неё. Тогда у них был бы один "подключённый компьютер". Но это, конечно, не "две кнопки нажать".

Или я всё не так понял и речь идёт об "одновременно подключённых компьютерах"?

шикарный текст. Интересно из какой компании автор)

да это может быть любой энтерпрайз типа кока-колы, байера, форда, боинга или бритиш петролиума. Везде примерно одинаково

В них то как раз тонны древнейшего кода чуть ли не на фортране

ну вот переезжают потихоньку в клауды, кудаж без этого, но подходы все теже: "работает не трогай", прямо как и в этой статье, что прямо как революция подается - слегка потрогать то что и так работает

Лет 5 модно нанимать 100500 дата сайнс и 10+ амазон архитекторов.

А потом, думаете, чувак который умеет работать только молотком - просто вставит шурупик? Неа.

Тут этого описанного в статье чувака потом еще и уволят, ибо он бюджет менджеров сократил. Надо не только достижения, но и общий бюджет.

Не просто сократил бюджет менеджеров и отдела, а выставил их идиотами, которые годами платили завышенные счета на миллионы долларов. Поэтому и просят его "оптимизировать" по чуть чуть, неспеша, в течении года, а не сразу на все машины, понижая платеж в 10 раз, где менеджеры будут выглядеть глупцами.

Это всё, что собственникам и инвесторам нужно знать о крупном бизнесе.

Кстати, а если Snowflake какому-то менеджеру ещё процент расходов отстегивала (партерка, рефералка), то это ещё и убытки для менеджера.

Это иносказательное описание половины крупных государственных компаний РФ.

О, этот милый наивный миф об эффективных западных компаниях, в которых умеют считать деньги.

Как из моего комментария вы пришли к выводу о том, что я считаю будто западные компании эффективны?

Напротив, у них и вовсе половина современного айти это вообще цирк с конями и дебилами, он работает исключительно потому что его бабками заливают.

Прошу прощения. Поддался стереотипу: обычно фраза из предыдущего комментария подразумевает такое противопоставление.

Просто я в нескольких наших работал, так что точно знаю какое там шапито, вот и написал про то в чём уверен.

А про западные у меня инфа скорее от знакомых, из статей, а также из опыта взаимодействия с их продуктами (взять несколько амазоновских сайтов, например).

Сам Хабр работает через пень на мобильном браузере.)

Согласен, иронично то, что мобильная версия сайта про IT сделана криво

Потом выяснится, что из Мелкософта, например) Когда челу влепят иск за какое-нибудь нарушение NDA. Но он окажется негром-геем и отсудит лям за харассмент.

Интересно из какой компании автор

И что за страна, в которой чтение док приводит к панике и выгоранию?

Это не важно. Примерно везде так.

Сидели инженеры в отделе, делали вид, что работали, менеджеры пилили бюджет и все были довольны... Нет, надо было прийти великому оптимизатору, которому хотелось бы навести порядок.

Нет, я понимаю автора, он хотел прибавку к ЗП хорошую, но по факту, чудо что его после этого не уволили.

 чудо что его после этого не уволили.

Он сэкономил полляма, так что сразу уволить нельзя. Подождут немного и уволят.

На самом деле была похожая история, только с другими цифрами.

Менеджер в компании, где я работал, хотел в последних числах декабря отгрузку сделать на достаточно серьезную сумму, не согласовывая ее с бухгалтером. В итоге компания в конце года попала бы на НДС в районе 200 тысяч рублей, которые не чем было бы закрыть.

После моего вмешательства, отгрузку перенесли на начало января, тем самым позволив перенести расходы на следующий год.

Получил с этого премию 20к за финансовую экономию от дира и подзатыльник от менеджера, за то что лезу куда не следует и мешаю выполнять ему план продаж.

Ну так вполне логично. Менеджер хотел сделать план ДО Нового Года чтобы получить премию поэтому ему было пофиг на эти переплаты. А благодаря вам он, вероятно, пролетел.

Где-то читал о случае еще интереснее. Там или аудитор, или новый дата аналитик заметил, что, почему-то, почти все заказы, оформленные в последние пару дней каждого месяца, в итоге отменяются.
В итоге выяснилось, что где-то числа 3-го, или 5-го подбивали итоги предыдущего месяца и выписывали премии менеджерам за заказы с датой создания этого месяца. Вот менеджеры, начиная с числа 29-го, и начинали создавать заказы от балды, чтобы, как только месяц рассчитают, сразу же их отменить.

На моей первой работе было абсолютно тоже самое.

Во всех нормальных компаниях бонусы выплачивают за полностью отгруженный и оплаченный заказ. И документы должны быть подписаны.

Странно, что где-то можно получить премию просто за циферки забитые в 1с.

Мне кажется, что это превратит алгоритм расчёта бонусов в ад, если речь о б2б продукте с долгим циклом продаж, сложными расчётами, всякими факторингами, лизингами, рассрочками, пилотными проектами и так далее.

Если сделать втупую, и просто, условно, платить 3% от любого оплаченного инвойса, то менеджеры-новички вообще не будут иметь возможности выйти на хороший доход за первые год-два (и, соответственно, будут выгорать быстрее, чем пойдёт поток, сопоставимый со ставкой), а "старички", наоборот, будут рубить серьёзное бабло на старых заказах ничего не делая, и будут почивать на лаврах.

Если же иметь KPI и платить в зависимости от его выполнения, то, снова таки, бонусный период будет, условно, Q1 2023, а понимание, кто достоин бонуса, появится где-то к новому году, что будет весьма странным, ведь все уже и забыли, что там, 9 месяцев назад, было.

Короче, как не крути, но, для продукта с неочевидным путем от создания заказа до поступления платежа, всегда придётся делать какую-то аппроксимацию успеха менеджера по продажам, которая с одной стороны коррелирует с доходом (или даже чистой прибылью, если у менеджера есть большая вольность в плане определения цены), а с другой - позволяет рассчитать этот показатель быстро, чтобы можно было оценить работу и дать обратную связь не через год.

Ну так аппроксимация это же не плохо, только не выплачиваете сразу всю премию, а, скажем, треть. Полную же премию выдавать в конце года по всем итогам.

это превратит алгоритм расчёта бонусов в ад, если речь о б2б продукте с долгим циклом

Ну почему? Просто начислять премию по факту закрытия очередной части контракта, плюс общую за весь контракт. Никакого ада, плюс удержание сотрудника от прыжков из компании :)

менеджеры-новички вообще не будут иметь возможности выйти на хороший доход

Всё верно, волка продавца ноги кормят. Не сиди на попе, бегай, ищи новых покупателей, придумывай новый продукт/услугу. А старички уже обросли связями, старый клиент звонит напрямую "своему" менеджеру т.к. знает что тот всё сделает как надо и ему не надо долго объяснять что куда. И я сейчас не говорю о какой-то коррупции, это вовсе не обязательно. Просто опытный сотрудник погружён в предметную область, знает что происходит на рынке и может сам предложить оптимальное решение. И он имеет полное право слегка расслабиться.... до поры, до времени, пока молодёжь не начнём покусывать за попец :)

Просто начислять премию по факту закрытия очередной части контракта, плюс общую за весь контракт

Оно не так просто, как кажется, увы. Премия (или бонус) ж это не просто двойная оплата работы (ибо первая часть оплаты работы это ставка). Премия платится за факт перевыполнения формально зафиксированных ожиданий на сотрудника.

Условно, есть план, что менеджер должен на $1кк +- $500к контрактов за квартал назаключать. Все просто и прозрачно. Можно под конец квартала понять, кто перевыполнил и молодец (соответственно, бонус щедрый заслужил), кто настолько безнадежен, что даже ставки не заслуживает и чужой стул просиживает в офисе. Можно рейтинг составить просто и объективно.

А, если считать это по фактам оплат, то все становится ну очень запутанным. Пропадает простая и понятная метрика сравнения как менеджеров друг с другом, так и с верхней и нижней границами ожиданий.

будь менеджер поумнее, договорился бы с итшником потихому, чтобы отчет о продажах делал по дате договора, а не отгрузки, и вуаля - план сделан

Когда это выяснится, а это выяснится, "айтишнику" кирдык.

пф, я такое наблюдал лично и не в одном месте, ничего никому не было

Либо мы имеем в виду разные вещи и говорим о разном, либо вы работали в каких-то очень странных местах.

обычные места, от банков до иностранных компаний, где менеджеры абьюзили расчет KPI в своих личных интересах.

А в чем интерес айтишника и как так получалось что изменения в отчетах никто не замечал? Или всем пофиг было что сначала считалось так, потом сяк? И как вообще такие изменения делались, что в таске писали, кто таску заводил?

А айтишникам везде в 99% случаев вообще пофиг, что сказали - то и делают. Даже бизнес-аналитики обычно лишних вопросов не задают, если менеджер заказал себе отчет где KPI считается как-то не так, не похоже на то как в другом отделе или в другой стране - всем нас...ть. По идее это аффектает более высоких менеджеров, но они никогда не снизоходят до влезания в расчеты, и кушают то что им дают снизу. Могу даже на конкретных примерах расказать.

Могу даже на конкретных примерах расказать.

Было бы очень интересно. Полагаю и не мне одному.

Да пожалуйста. Делаем мы отчетность по продажам для разных стран, для всех (больше сотни) стран нормально сделали, а в одной (назовем ее для примера "Аргентиной") началось, местный страновой менеджер запел: мол, в песо то продажи верные да, но в USD нет, давайте придумаем умножать продажи за каждый месяц не на актуальный курс песо, а на один на весь год и тот что был в начале года (ибо по факту график продаж в USD летит в пропасть вместе с курсом песо (загуглите ради интереса), а так можно притвориться что есть какой-то рост, если глаза на курс закрыть.

Ну и что, аналитикам нашим было пофиг, что говорит менеджер то и сделаем. Верхнему начальству тоже пофиг, они в Швейцарии живут вообще непуганые такими вещами как падение курса валюты на 100% за год, даже не понимают проблемы. Только мне одному почему-то не пофиг было (хотя я вообще по сути никто, так, техлид на том проекте). Я и говорю - нельзя так считать, все страны по месячным курсам живут, как эту Аргентину с ними складывать? Ну и в итоге каким-то чудом сумели мы с BA донести информацию до топ-менеджмента направления, сложили они 2+2 и со скрипом и с третьей попытки согласились, что что-то не так.

Но это еще не победа. Жизнь сложная штука, каким-то чудом таки этот локальный Аргентинский Педро сумел протолкнуть и убедить боссов что нужен еще и его вариант расчета. И в итоге в отчете по всем странам есть две валюты - локальная и нормальная USD. А в отчете по Аргентине - три! Локальная, USD и USD* со звездочкой (USD по высосанному из пальца этого дона Педро курсу) и этот третий вариант он любит показывать на презентациях как свои достижения, а иначе там жоп..а у него в продажах, пардон за мой аргентинский.

А вообще если бы я не встрял в это всё, считали бы отчеты по его варианту и думаю еще много лет никого ничего бы не смущало. Аргентина эта в мировом масштабе той корпорации - крохи. А свои бонусы дон Педро получал бы исправно.

p.s. Ну еще для понимания не надо думать что в той корпорации вообще дураки сидят и не умеют деньги считать. Нет, в финансовом отделе например где P&L и GTN считают - всё они знают и считают все курсы как надо. Просто корпорации - это такое дело: что и как считают в одном отделе - в другом не знают и даже не хотят знать. Так что то что финансы считают, продажи игнорируют и с умным видом считают сами (и часто по другому).

p.p.s. это был самый простой пример, а есть у меня и много куда сложнее, и из мира ценных бумаг и из маркетинга и т.д, и т.п.

Я в аналитике и репортинге 20 лет уже почти, какого только насилия на цифрами не видел

Замечательная история. IMHO развернутая версия поговорки: "Сколько будет 2х2 ?

А мы покупаем или продаем?"

Странно, что нет внешней (по отношению к аргентинскому отделу) финансовой/бухгалтерской проверки.

ну финансовый отдел в корпорации на 100000 сотрудников, это просто другая планета. Они с продажниками и их цифрами даже не пересекаются. Да и зачем проверять, если у самых топов отдела продаж никаких вопросов-то нет, все норм.

В реальности что-то серьезное я думаю может произойти, только если вдруг вся компания уйдет в серьезный кризис на грани банкротства, но это черный лебедь случающийся раз в 50 лет, не чаще

Не, ну если джентльменам принято верить на слово, то ладно...

Я бы не сказал, что дон Педро прям так не прав. Сильное падение курса нац. валюты всегда приводит к падению продаж любого импорта. В этих условиях оценивать работу дона Педро исходя исключительно из продаж в USD значит полностью убить его мотивацию хоть как-то спасать продажи. Сам дон Педро в итоге, конечно, всё в свою пользу пересчитал. Но это только потому что никто не предложил более адекватных вариантов, чем оставить "всё как есть".

ну для начала, начнем с того что планы-то ему ставят в песо, так что свои планы он перевыполяет успешно и бонусы с мотивацией не пострадали (хотя если и бонусы в песо, то грусть конечно будет на лице дона Педро), а вот интеграция в мировые продажи ну и просто сравнение с другими должно проводится по одинаковым правилам.

Как же меня бесит этот корпорейт буллщит.

Выдайте премию продажнику, выдайте тому кто нашел, все равно все в плюсе.

Тем более учитывая что дошли до директора, а не двумя уровнями ниже - почему бы и не решить этот вопрос.

вообще корпорации частный случай. если присмотритесь, то это работает во всех соц. группах разного рода. это просто психология, а именно эгоизм, тщеславие, лень, боязнь, зависть, жадность. все эти аспекты влияют на тактики и стратегии поведения людей и соц.групп. после начала войны этот буллшит более ярко выражен на уровне государства даже, нежели в корпорациях. хотя для тех кто приглядывался и до войны это видел. просто в корпорациях мирок меньше и видно лучше яркие случаи, но амплитуда случаев все-таки поменьше, нежели при ситуациях вывода граждан и властей из зоны комфорта или хотя бы зоны ожиданий.

Я наоборот видел: когда отгрузку товара, который просто пипец, как нужен клиенту ДО нового года, пытались перенести на "после праздников". Со словами "ну, за декабрь мы план по любому уже сорвали, эта отгрузка нас не спасёт, а так хоть за январь премию получим"

Проблемы клиента индейцев не волнуют, а KPI само себя не выполнит.

Сидели инженеры в отделе, делали вид, что работали, менеджеры пилили бюджет и все были довольны... Нет, надо было прийти великому оптимизатору, которому хотелось бы навести порядок.

Вот вот. Или автор нашёл и вскрыл чью-то консерву, припасёную на случай когда надо срочно бустануть свой KPI. Ну, молодо, зелено. Подрастёт, поймёт как надо работать в корпорациях.

Да в любой компании можно чего-нибудь наэкономить, но этого никто не будет делать по многим причинам. Наиболее емкая - инициатива наказуема.

Отъявленные оптимизаторы иногда забывают, что они как наёмный персонал, зарабатывают деньги не компании, а себе, используя компанию.

It depends. У нас есть finops team, которая следит чтобы ты в облаке не накрутил счет на 100500$. И если что то не так - сразу сообщают тебе.

Что за облако такое странное? В Яндекс, например, администратору и так все видно, а не администратор вряд ли может что-то накрутить

Так администратор может не следить за суммами, а вот команда это и контролирует

У нас тут сотни devops, а к биллингу имеют доступ далеко не все. Плюс вот ты начал работать и будешь каждый час смотреть счет ?

P.S

Облака стандартные AWS, GCP, Azure

Зачем всем иметь доступ к биллингу? Сделайте какой-нибудь dashboard, в Grafana, пусть сервисная учётка смотрит, alerts туда же, и команда сможет получать уведомления по какому-нибудь порогу или irate.

Хорошо, когда есть целый finops отдел для озвучивания мониторинга и придумывания метрик вместо той же обязанности на SRE/админах, когда и админишь и отвечаешь перед начальниками, почему внезапно счёт вырос и как можно сэкономить. Я вам по-хорошему завидую.

Та понятно, что костылей можно напридумать сколько угодно, но удобно когда это делает отдельная команда, а ты концентрируешься на задаче.

Аналогично и с security. Отдельная команда следит и мониторит. Тебе только уведомления приходят

Вопрос в цене

не только в ней, но еще и в удобстве.

Если очень приближенно, то представим, что каждый девопс тратит 15-30 минут в день на подобного рода мониторинги. А теперь умножаем на 100, и получается, что намного выгоднее взять 3-5 человек под это дело, чем забирать время у каждого человека. Я конечно сильно утрировал, но суть примерно такая

200 метров джаваскрипта грузят текста 300 байт

я элита программист а не какой-то раздолбай.

неа. а вот как только прочитаете до дыр пару книг про паттерны проектирования и зарешаете 100500 задачек по алгоритмам и на хабре про это напишите - вот тогда поймете, что ваши 200 метров это говнокод - должно быть минимум в 5 раз больше!

еще через полгода они догадаются что PBI зарпросам можно вместо варехауса размером XL выдавать X-Small - и съекономят еще полмиллиона.

А если бегать за такси, то можно еще больше заработать сэкономить.

подобное сплошь и рядом, парень хотел признания и денег, а всего лишь сделал ту работу, за которую ему платят

Ведь тогда мне придется «раскрыть» некоторых менеджеров, которые мне нравятся

Почему вам нравятся некомпетентные бездельники?
Прикрывать их стоит лишь в нескольких случаях:

  1. Вы извлечёте из этого финансовый профит

  2. Вас переведут на более комфортную должность

  3. На их место будут поставлены ещё более некомпетентные люди

Зачем оставаться в фирме где в благодарность за результат вам не дают денег и накидывают работу которой вы не хотите заниматься? Или у вас есть сомнения в поиске более подходящего места?

фразы

Я нанял своего друга (большого поклонника кумовства)

и

Они притворяются настоящим бизнесом, и совет директоров считает, что их костюм сидит убедительно.

намекают, что это какой-то локальный отдел большой (возможно транснациональной) конторы.

Вы не будете ссориться с родственниками и друзьями в странах, где большие семейные кланы ;)

Я нанял своего друга (большого поклонника кумовства) - представилась схема - амер читающий доки без паники и индус лопатящий код на удаленке в субнаеме ))

Я не настолько опытный инженер, как многие из моих читателей, но способен читать документацию, не впадая в панику, — что в моей стране считается высокой квалификацией.

Расскажите мне, плиз, что это за страна. Ну пожалуйста....

Для Индии английский слишком хороший.

P.S. Австралия.

Из известных мне стран под описание подходят все.

Теперь история наоборот.

Тестовый энвайронмент аналогичный продакшону выключается на ночь и выходные. Как то раз для тестирования его держат включенным 24/7 в течении месяца с лишним.

Какой-то вумный оптимизатор это видит и без согласования с командой резервирует инстансы.

Самое смешное - цена на зарезервированные инстансы не отличается от той что платилась раньше.

Теперь выключать энв бесполезно. Расходы взлетают - дополнительные полмиллиона в год.

Всем по барабану, даже переговоры об отключении резервирования с облаком ведут вяленько. Через 9 месяцев случается очередной месяц рекордных трат по компании, начинается кампания экономии и наконец статус резервирования убирают за 3 месяца до того как он бы закончился сам собой.

Что за долгое тестирование в месяц? Это стоило 500/12=41 тысячу долларов?

В нервах было еще дороже )

Amazon RDS Multi-AZ фэйловер. Чего там только не вылезло...

А почему резервируемые инстансы не отличаются по цене? Судя по комментарию это были On-Demand? Или всё-таки Spot?

Строго говоря отличались. Но там туча дополнительных скидок и программ, так что на самые дорогие разница получалась всего единицы центов в час. Гримасы ценообразования.

Как же тяжело читать англоязычные тексты, даже в переводе. Они там совсем не умеют мысли линейно выражать? Как они вообще друг друга понимают с такой кашей в голове?

Не смог читать в переводе, но в оригинале вполне ясно и понятно. Наверное, перевод такой.

Есть вещи и пострашнее: например перевод с русского на английский в стиле "Пользователи, которым нужен отчет ..." => "Users, for whom the report is needed ..."
Люди ведь всерьез полагают, что слова в разных языках должны следовать в одинаковом порядке, как в гугл-переводчике.

Если человек пишет на английском языке, это не значит, что английский для него родной язык.

Это ещё большой вопрос, кого легче понять? Носителя или не носителя языка?

Это не «не умеют», это в принципе другая структура построения фраз в другом языке. Она по-своему прикольная, хотя с непривычки и трудно дешифруемая — но, например, я сейчас ткнулся в оригинал, мне читается легко и приятно. Но у меня письменный английский где-то там в районе «очень маленькие яйца», я художественную литературу в оригинале читаю.

А в переводе получается действительно ужасно, потому что вы в русском ждёте характерной для русского языка структуры, идиом, выражений — а оно по большей части калькой с английского дано. И это всё царапает мозг.

Хорошо перевести художественный текст на русский — сложно, и это скорее будет пересказ, чем перевод.

Автор - азиат (возможно, южнокореец), мигрировавший в Австралию. При этом у него замысловатый язык с болшим числом редких слов; в таком стиле обычно пишут образованные британцы.

Но даже это читать проще, чем дословный перевод на русский. :)

Автор статьи действительно сделал ужасную вещь. Откручивал бы каждый месяц на 1 минуту. Получил бы бонус в конце года который хотел. Сразу было бы видно, что человек занят и усердно работает.

Так ему по agile должны были карточку выдать discovery чтобы он мог что-то делать

Что это вообще за слова такие? Какие карточки? Какой дискавери? Я ничего не понял. Его попросили поискать пути снизить косты?

По агайл он не может делать то, чего его не попросили. Он может попросить, чтоб ему выдали разрешение - карточку, если ее выдадут то он может делать. Дискавери - исследовательская карточка(результат документ с описанием чего делать, а не код)

Тоесть человек ЗНАЕТ как снизить косты, но ему нужен документальный след, чтоб работа была оплачена и зачтена. Он должен выступить на спринте и сказать, хочу вот это делать, знаю как. Менеджер решит да-нет и тогда через месяц-другой-год он получит разрешение это делать.

Менеджеры - суть зло! В любой сфере.

Ваше утверждение ложно.

Менеджеры сами по себе - это замечательный инструмент для разработчика, который позволяет переложить с больной головы на здоровую такие вещи как планирование, аудит сроков, работу с командой, работу с заказчиками, etc., etc.

Я не могу отрицать, что построенная директорами система управления порой, особенно в больших компаниях, стимулирует их заниматься какой-то нецелевое деятельностью, вроде офисной политики и покраской красных лампочек метрик в зелёный.

Однако неправильное или нецелевое использование инструментов не делает сами инструменты плохими. Умная команда из пяти разрабов-стартаперов скорее всего сама наймёт себе менеджера, потому что иначе бардак на проекте будет расти и расти.

Умная команда из пяти разрабов-стартаперов скорее всего сама наймёт себе менеджера, потому что иначе бардак на проекте будет расти и расти

Вы говорите о менеджере, назначенном снизу - да, тут польза конечно есть. Менеджеры же, назначенные сверху, это почти 100% источники проблем.

Я бы даже сказал, что в компаниях с жёсткой централизованной структурой, где у сотрудников нет права выбора или даже возможности высказаться, и начальники ставятся сверху в приказном порядке, всегда будет огромное колличество растрат, гонки за сломанными показателями, самодурства, подковёрных игр, фаворитизма, непотизма, дурацких неработающих правил и дырявых процессов.

Я бы так сказал, но Хабр не для политики, поэтому я благоразумно промолчу.

Стоханов прям. хейт и кликбейт.

Тоже как-то сэкономил компании лям благодаря своим кривым рукам и... Хабрахабру.

Компания использовала сторонний (но отечественный) сервис по вводу/выводу денег пользователей. Во время очередного рефакторинга я накосячил, и ID кошелька превратился в 0. Удивившись, что API не выдало ошибки, капнул чуть глубже, и... пробил дно)

Оказалось, что пользователь может вывести деньги с чужих кошельков на свои реквизиты всего парой строчек JS.

Дрожащими от предвкушения руками расписал тикет безопасности в техподдержку сервиса. Уже думал, куда поставить феррари, которую мне безусловно вручат за найденную уязвимость. Все-таки даже у нас там было пользовательских кошельков на сумму больше лимона y.e., а ведь были конторы и покрупнее. Но не тут-то было.

Ответили не сразу и без энтузиазма. В максимально сдержанном стиле поблагодарили за подробное описание и сказали, что пофиксят проблему в одном из следующих плановых релизов.

Я выпал в осадок... В течение недели пытался достучаться до них, объясняя всю критичность найденного. Бесполезно. Отвечали медленно, неохотно. Ускорять выход фикса не собирались, давать вознаграждение - тем более.

Контраст между ожиданием и реальностью был так силен, что я даже подумал, что веду беседу с неэтичными сотрудниками, которые сами собираются воспользоваться уязвимостью. Попросил связать с лидом отдела безопасности. Отказали и добавили, что собираются закрыть тикет, если у меня больше нет вопросов.

И тогда, просто из вредности, я написал примерно так: "Вопросов нет. Просто не хотел, чтобы ваше руководство удивилось, когда прочтет об этом на Хабре".

И тут случилось чудо! Ответ последовал буквально в считанные минуты! В нем просили встречи на уровне руководителей компании в удобное нам время. По итогу, выдали бессрочный платиновый аккаунт сервиса, а меня назвали молодцом.

P.S. Кстати, в то время у меня даже не было аккаунта на Хабре xD

Вывести денег с чужих кошельков исправив js, это сильно. Что за контора?))

Будет лучше (для меня), если это останется безликой байкой. Как поется в песне: "Я бы мог открыть ответ тот, но йог велел хранить секрет, вот."

И тут случилось чудо! Ответ последовал буквально в считанные минуты!

"Ёж — птица гордая: пока не пнёшь — ни за что не полетит!" (c)

Уязвимость-то пофиксили по-итогу?

Да) Причем сначала втихую пропатчили так, чтобы при попытке использовать уязвимость генерилась сырая ошибка. Затем выпустили официальное обновление, в котором уже возвращался JSON. В описании к релизу был пункт аля "Исправлен формат ответа для некорректных сценариев использования API".

Sign up to leave a comment.