Il progetto Laravel è in ritardo, il cliente aspetta e il team è già pieno: un senior che entra nel vostro repository e punta alla prima feature in pull request entro la prima settimana

Vi riconoscete in almeno due di queste?

• Una consegna è in ritardo e non potete assumere per un picco di tre mesi.
• Il codice di un cliente è arrivato senza test, e ogni modifica rompe qualcos'altro.
• Serve una migrazione (versione di Laravel, di PHP, di database) che nessuno ha voglia di iniziare.
• Un cliente chiede un penetration test o un questionario di sicurezza e non avete chi lo segue.
• L'ultimo freelance ha consegnato a modo suo, e il lead ha passato un mese a rimettere ordine.

Se avete detto sì almeno due volte, il problema non è trovare uno sviluppatore: è trovarne uno che entri nei vostri standard senza farvi perdere il tempo che volevate recuperare.

Cosa costa una settimana di ritardo

• Un progetto fermo brucia il margine ogni settimana e sposta le date di tutti gli altri.
• Un cliente che aspetta non rinnova, o rinnova chiedendo lo sconto.
• Un freelance sbagliato costa due volte: le sue giornate e quelle del lead che rifà.
• Un bug di autorizzazioni in produzione costa il cliente, non il ticket.

Con questi numeri, la tariffa giornaliera è la parte piccola: la parte grande è quanto in fretta la persona diventa produttiva e quanto poco fa lavorare gli altri.

Se lunedì entrasse nel repository e venerdì avesse una pull request verde?

Così va la prima settimana. Primo giorno: clone, ambiente locale, lettura del codice e dei test, una lista scritta di cosa è chiaro e cosa no. Entro venerdì: una feature vera chiusa fino alla pull request, con test e analisi statica verdi, revisionata dal vostro lead. Da lì il ritmo lo decidete voi: sprint, kanban o ticket.

Strumenti e standard sono i vostri (Git, CI, issue tracker, chat). Se mancano, arriva una proposta in una pagina, applicata solo dopo il vostro ok. Cosa vi resta in mano ogni volta:

• Test Pest o PHPUnit attorno a ogni funzionalità toccata; copertura misurata in CI.
• PHPStan al livello massimo sui moduli nuovi, baseline sul resto che può solo calare.
• Mutation testing (Infection) sui moduli critici: i test devono fallire se il codice cambia.
• Una pull request per volta, piccola, con scritto cosa cambia e perché.
• Consegna con decisioni architetturali scritte, runbook, nessun segreto nel repository.

Tre interventi recenti, con i numeri

• Rifattorizzazione completa di una piattaforma legal-tech, per conto di una software house, da marzo a dicembre 2025, a tempo e materiale: alla fine test automatici, mutation testing e analisi statica in CI. Il codice si tocca senza paura, e le modifiche seguenti costano meno.
• MVP di un gestionale per i consensi GDPR per una startup di Milano: prodotto complesso soprattutto nel modello dei dati, funzionante in 6 mesi, sviluppato da solo; collaborazione durata due anni.
• Progetti Laravel per una software house con piccoli clienti, dal 2019: consegne continue dentro il loro repository, con le loro convenzioni, senza sostituire il team.

Dietro: quattordici anni di PHP e Laravel dal 2012, fino al 2025 tech lead di una software house, e la stessa disciplina applicata anche ai progetti propri (test, analisi statica, CI bloccante). I clienti finali non si nominano: i dettagli, con i riferimenti, su richiesta.

Tariffa, disponibilità e il primo passo

A giornate o a progetto, con preventivo scritto prima di iniziare. Riferimento di mercato: l'Assintel Report 2025 (indagine su 346 PMI ICT): 347 € al giorno per un programmatore, 540 per un consulente, tariffe che i clienti riconoscono alle aziende ICT. A 350 € paghi un senior quanto il mercato paga un programmatore:

• Senior Laravel dentro il vostro team: 350 € al giorno, almeno un giorno a settimana, anche di lungo periodo; fattura a fine mese, pagamento con carta o addebito SEPA tramite Stripe. Condizioni e riferimenti di mercato sulla pagina quanto costa un senior Laravel al giorno.
• Sicurezza applicativa e penetration test: da 600 a 750 € al giorno, report compreso.
• AI applicata e sistemi industriali (visione, MES, integrazione macchine): da 700 a 900 € al giorno.

Gli incarichi continuativi occupano i giorni della settimana a calendario: quando i giorni sono presi, sono presi. Il passo giusto per capire se ha senso è un'analisi gratuita sul progetto vero: repository alla mano, ne esce una stima scritta della prima settimana, anche se poi scegliete altri.

Descrivimi il tuo problema.

Sicurezza del software: audit, correzioni, penetration test, NIS2

Nella stessa pagina, perché è la stessa persona e lo stesso metodo: la sicurezza del software è una capacità trasversale, non un servizio a parte. Serve quando un cliente vi manda un questionario di sicurezza, quando il gestionale che vendete lo ha scritto qualcuno anni fa, o quando la NIS2 chiede una risposta anche dentro il codice.

• Audit del codice e delle dipendenze: controllo degli accessi, input, sessioni, configurazione, librerie non aggiornate; lista scritta con priorità.
• Remediation nel codice: le correzioni si fanno con test di regressione e controlli che restano nella vostra CI, non in un PDF.
• Penetration test applicativo con metodo OWASP sul gestionale che usate o che vendete, da 3 a 8 giornate secondo le funzioni, report compreso.
• Supporto NIS2 lato software: le misure di base vanno in atto entro il 31 ottobre 2026; per il software vuol dire penetration test, correzioni e prove da mostrare all'audit. La parte organizzativa resta al vostro consulente.

Tariffa: da 600 a 750 € al giorno, report compreso; le correzioni si preventivano dopo il report, per iscritto. Il dettaglio è nella pagina NIS2 lato software e penetration test.

Fuori dai progetti per i clienti: JavaScream, un progetto open source, e articoli sulla sicurezza applicativa pubblicati su Red Hot Cyber. Le recensioni di chi ha lavorato con me su questi temi sono qui sotto.