ARK. 05 — Teczka realizacji

Nie pokazuję makiet.
Pokazuję protokoły odbioru.

Trzy systemy i trzy strony rozłożone na części. Każda liczba w tej sekcji pochodzi z moich repozytoriów i raportów z testów. Stan na 12.11.2026.

testów automatycznych w Tolsie 2.0 i tolaccount: 1 863
wynik testów mutacyjnych silnika rozliczeń (próg: 90%): 99,0%
celowo wprowadzonych usterek, które testy muszą wykryć: 49
zapisanych decyzji architektury (ADR), każda po przeglądzie: 14

TS-001

Tolsa

System dla firm wykonawczych z ekipami w terenie: ludzie, grafik, godziny i rozliczenia w jednym miejscu, zamiast kartek, Excela i WhatsAppa.

Tolsa 1: codziennie w firmie elektrycznej
Tolsa 2.0: fundament odebrany, moduły w budowie

Ekran „Dzisiaj” w panelu szefa Tolsy 2.0: lista spraw do decyzji od najpilniejszych, kto dziś pracuje na której budowie, podsumowanie tygodnia i miesiąca.

Aplikacja pracownika Tolsy na telefonie: dzisiejsze 8 godzin z grafiku potwierdzane jednym przyciskiem „Zgadza się”.

Prototyp Tolsy 2.0 (wersja 29), zaakceptowany przez użytkowników Tolsy 1 · dane przykładowe · ekran pracownika: jeden kciuk, jedno potwierdzenie

Tolsa 1.0 — produkcja

Działa codziennie, od rana do wypłaty

Godziny, grafik, rozliczenia i centrum pracownika w jednej aplikacji na telefon (PWA).
92 kolekcje danych na PocketBase; z czasem wyszło, których modułów firma naprawdę używa.
Zabezpieczona przed przepisaniem: izolacja firm testowana automatycznie, kopie z 30 dni z przećwiczonym odtworzeniem, monitoring z alertem.

Tolsa 2.0 — od zera

Ten sam pożytek, fundament jak w banku

Najpierw koncepcja: 10 dokumentów, prototyp sprawdzony automatycznie na 542 ekranach, akceptacja firmy, która używa Tolsy 1.
Izolację firm wymusza baza danych, a nie dobra wola kodu aplikacji.
9 decyzji architektury, 10 przeglądów kodu i projektu, 372 commity w trzy tygodnie.

RYS. 05.1 — Tolsa 2.0 w rozstrzeleniu

POZ. 1Telefon pracownikaZaproszenie bez e-maila, PIN chroniony Argon2id. Odebrane 10.11.2026.
POZ. 2Panel szefa i biuraNext.js. Każdy skrypt z sumą SRI, nowy nonce przy każdym żądaniu, zero unsafe-inline.
POZ. 3ModułyModułowy monolit. Granic warstw pilnuje 11 celowo błędnych grafów zależności.
POZ. 4Silnik rozliczeńCzysta domena bez wejścia-wyjścia. Kwoty w całkowitych groszach.
POZ. 5PostgreSQL 16 z RLSFirma widzi tylko swoje wiersze, nawet przy błędzie w aplikacji. Worker i kolejka zdarzeń w tej samej bazie.
POZ. 6Serwer w PolsceRuch z zewnątrz przez Cloudflare Tunnel, administracja tylko przez Tailscale. Dane w UE.

Próba 05.1 — kontrolowany sabotaż

Zepsuj rozliczenie. Zobacz, kto to złapie.

Tak wygląda wypłata Marka za październik. Wprowadź jeden z błędów, które zdarzają się w prawdziwych programach płacowych, i uruchom testy.

Marek N. · elektryk-monterX 2026

84,0 h × 30,50 zł 1–15.10: 2 562,00
93,5 h × 32,00 zł od 16.10, nowa stawka: 2 992,00
Kilometrówka 180 km × 1,15 zł: 207,00
Zwrot kosztów: wiertła i kołki: 64,90
Razem: 5 825,90
Do wypłaty w górę do pełnych 10 zł: 5 830,00 zł

Wprowadź błąd Bez błędu Pomiń historię stawek Zaokrąglaj w dół Licz na liczbach zmiennoprzecinkowych

stawka z dnia pracy, nie z końca miesiąca
kilometrówka co do grosza
suma = składniki, co do grosza
wypłata w górę do pełnych 10 zł
4 000 losowych miesięcy zgodnych z Tolsą 1

Symulacja na tej stronie. Prawdziwe testy Tolsy złapały dokładnie takie błędy: zaokrąglanie połówki w dół i pominięcie historii stawek (próba z 22.10.2026). W tolaccount liczb zmiennoprzecinkowych w domenie w ogóle nie da się użyć.

Protokół odbioru — fundament Tolsy 2.0

WymaganieZmierzoneWynik

Testy bazy: izolacja firm, role, sesje, ataki na kontekst1 165 z 1 165zgodne

Testy w prawdziwej przeglądarce118 z 118zgodne

Testy mutacyjne silnika rozliczeń, próg 90%797 z 805 mutantów zabitych · 0 timeoutów99,0%

Izolacja firm pod obciążeniem: 50 firm, 1 825 000 zdarzeńodczyt rekordu 3,4 ms · 100 000 wierszy 32 mszgodne

Logowanie PIN-em: Argon2id, 19 MiB pamięci na próbęmediana całego przepływu 117 mszgodne

Celowe wyłączenie zabezpieczeń bazy13 wyłączonych · 13 wykrytychzgodne

Ekrany bez kwot nie pokazują żadnej stawki595 ekranów sprawdzonych automatyczniezgodne

Źródło: GitHub Actions, przebieg nr 42668647110, oraz raporty zadań 006–008 z repozytorium Tolsy.

TS-005

Archiv

Prywatny dysk dokumentów firmy na jej własnym serwerze. Zero zaufania do sieci: każde żądanie przechodzi przez sześć bramek, zanim dotknie pliku.

Beta odebrana u pierwszego klienta 26.09.2026

Próba 05.2 — droga jednego żądania

Wybierz, kto puka. Zobacz, gdzie zostanie zatrzymany.

01Cloudflare Accesspodpis tokenu sprawdzony kluczami JWKS
02Sesjalosowe 32 bajty; w bazie tylko skrót SHA-256
03CSRFtoken, Origin i Fetch Metadata
04Kontekst firmyRLS w transakcji, 21 chronionych tabel
05Uprawnienierola i dostęp do folderu
06Dziennikwpis audytu w tej samej transakcji

Wybierz scenariusz powyżej.

6 ról bazy danychAplikacja nie ma prawa omijać RLS. Wyjątki mają tylko role bez logowania i kopia zapasowa.
Upload, który przeżyje awarięTrwała intencja, niezależna suma SHA i odzyskiwanie po śmierci procesu w połowie pliku.
Kopie, którym można ufaćSzyfrowane, ze znacznikiem COMPLETE na samym końcu. Odtworzenie tylko do pustego środowiska.
Wydanie przypięte do SHAObrazy z sumami kontrolnymi. Cofnięcie wersji blokowane, gdy nie pasuje do bazy.

TS-006

tolaccount

Pełna księgowość spółki z o.o.: księgi, plan kont, zamknięcia okresów i JPK. Program, w którym baza danych nie pozwala skłamać.

W budowie · jedyna ewidencja spółki od 1.01.2027

Próba 05.3 — spróbuj oszukać księgę

Zmień kwotę o grosz. Baza to zauważy.

postgres 16 · tolaccount_app · dziennik 2027

580 testówW tym na prawdziwym PostgreSQL 16. Minimum 95% pokrycia gałęzi w każdym pakiecie.
36 celowych usterekW SQL, usługach, logowaniu i raportach. Bramka nie przejdzie, jeśli testy którejś nie wykryją.
Zakaz ułamków w kodzieDomena nie zna liczb zmiennoprzecinkowych ani dzielenia. Pilnuje tego analizator kodu, nie dobre chęci.
Każdy znak UnicodeOd U+0001 do U+10FFFF sprawdzony w identyfikatorach osób, żeby aplikacja i baza mówiły to samo.
Dostęp jak do sejfuHasło i TOTP, szyfrowany wolumen LUKS2, kontener LXD. Wejście tylko z czterech urządzeń właściciela.
Pod przepisyOficjalne schematy XSD JPK_KR_PD i JPK_ST_KR, weryfikacja prawna przed pierwszą linijką kodu.

Strony, które pracują na zapytania

TS-002–004

TS-002
rodarelektro.pl

Firma elektryczna: instalacje, smart home, OZE. Konsultacja na pierwszym ekranie, zgody na cookies zgodne z RODO.
- Tailwind CSS
- statyczny HTML
- RODO
TS-003
power4u.com.pl

Fotowoltaika, pompy ciepła i magazyny energii na Śląsku. Każda ścieżka prowadzi do bezpłatnej wyceny.
- Next.js
- React
- shadcn/ui
TS-004
hedonerelax.pl

Marka premium gabinetu masażu z dojazdem. Kreator prośby o termin z bazą danych i automatycznymi testami dostępności.
- Next.js
- PostgreSQL
- testy axe