Algavi — Články

PHP2Shell: dvě kritické díry v PHP, které nejde odložit

2026-10-23T00:00:00.000Z

Opravy PHP obvykle vycházejí potichu. Tentokrát ale tým PHP 20. října dopředu varoval, že druhý den vydá opravu dvou kritických zranitelností s hodnocením CVSS 9,2 z 10. Pro jistotu dodal, že ji vydá dřív, kdyby podrobnosti unikly. Ty skutečně unikly a útočníci je začali zkoušet ještě před zveřejněním opravy.

Chyby dostaly přezdívku PHP2Shell. Útočník přes ně může bez hesla spustit na serveru vlastní kód, a to s oprávněními webu: vidí jeho soubory, heslo k databázi a může zapisovat, kam smí PHP. Týká se to prakticky každého webu na PHP, ať jde o WordPress, Laravel, Nette nebo vlastní kód. Nejvíc ohrožený je Apache s mod_php, kde útok proběhne dřív, než se spustí aplikace.

Opravené verze: 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pro PHP 7.4 až 8.1 existují jen zdrojové záplaty a starší verze opravu nedostanou.

Jak to funguje

Obě chyby jsou typu use-after-free: PHP použije paměť, kterou už uvolnilo a ve které mezitím mohou být data útočníka.

CVE-2026-109618 si představte jako kuchaře, který při nedostatku místa na lince všeho nechá a odejde. Uklízečka pak uklízí podle lístku, který kuchař stihl napsat jen napůl. PHP se při vyčerpání paměti chová podobně: okamžitě vyskočí z rozdělané práce a úklid se pak řídí napůl nastavenými daty.

CVE-2026-109619 připomíná hotel, kde se pokoj mezi hosty neuklidí celý. Server na PHP používá stejné procesy pro další a další návštěvníky. Když se požadavek nečekaně přeruší, zůstane v procesu „lístek“ odkazující na paměť, která už patří někomu jinému. Další požadavek se podle něj řídí.

Proč to vzniklo

PHP od začátku stojí na pravidle, že se na konci požadavku všechno zahodí a další začíná načisto. Jenže kvůli výkonu se procesy používají opakovaně a pravidlo přestane platit, jakmile se někde zapomene něco vynulovat. K tomu přistupuje zkratka „při nedostatku paměti hned utéct“, která předpokládá, že je na to připravené každé místo v kódu. A PHP je napsané v C, které nehlídá, jestli paměť ještě patří vám. Chyba tak vznikla ze souběhu tří starých rozhodnutí v situacích, které nikdo běžně netestuje.

Z praxe

Podle Amazonu přišel první pokus o zneužití už 17. října, tedy čtyři dny před vydáním opravy. Hned po ní se na GitHubu objevily stovky „exploitů“, z velké části falešných. Bezpečnostní firmy přesto zachytily skutečné pokusy, mimo jiné snahu podstrčit na server webshell, skript, přes který útočník server ovládá.

Typická oběť vypadá nenápadně: malý e-shop na levném VPS, PHP naposledy aktualizované v létě. Automatický skener ho po pár pokusech prolomí, přečte heslo k databázi a do pokladny vloží skript, který kopíruje platební karty. Web přitom nemusí mít žádnou chybu ve vlastním kódu.

Není to přehnaná obava. Chybu CVE-2024-4577 z června 2024 začal ransomware zneužívat necelé dva dny po zveřejnění.

Co dělat

Aktualizujte PHP a restartujte všechny jeho procesy (PHP-FPM, Apache). Debian a Ubuntu opravu často vracejí do starší verze, takže nižší číslo z php -v nemusí znamenat zranitelnost. Ověřte ji v bezpečnostním přehledu distribuce.
V Dockeru obraz znovu sestavte se staženým základem (docker compose build --pull), samotné up -d nestačí. Pak zkontrolujte verzi přímo v kontejneru.
Na sdíleném hostingu se zeptejte poskytovatele, jestli už aktualizoval.
Když aktualizovat hned nejde, pomohou dočasná opatření z oficiálního upozornění, třeba vypnutí session.upload_progress. Úplně ale díru neuzavřou.
Zkontrolujte server. Pokud běžel na zranitelné verzi, hledejte nové soubory ve složce webu, nové úlohy v cronu a padající procesy PHP.

Bezpečnost webu nestojí jen na vlastním kódu, ale i na prostředí, ve kterém běží. Proto se vyplatí mít nasazení připravené tak, aby oprava byla otázkou jednoho příkazu.

Zdroje: php.net – upozornění · php.net – opravy · Root.cz · GHSA-w8hw-w9fx-j79w · GHSA-6wmf-4rv5-p3rp · Censys

Pekárna, WhatsApp a AI: jak jsem automatizoval objednávky čerstvého chleba

2026-10-19T00:00:00.000Z

Když se řekne „automatizace objednávek“, většina lidí si představí e-shop nebo zpracování velkých poptávek z e-mailu. Co ale dělat s produktem, který je na e-shop příliš malý a na papírovou agendu zase příliš živý? Třeba s čerstvým kváskovým chlebem.

Jak to celé začalo

S Michalem Konečným už nějakou dobu spolupracuji jako jeho osobní technický poradce. Nedávno mi popsal problém, který možná znají i další výrobci s ne tak širokým sortimentem.

Má dva typy odběratelů: pravidelné a nepravidelné. Pravidelní fungují sami. Nepravidelní ale znamenají každodenní kolečko: nabídnout, co a kolik bude na který den, počkat na odpověď a zapsat, jestli odběratel potvrdil, změnil, nebo zrušil. Přes WhatsApp, nebo po telefonu.

Každý nový odběratel přidal kus práce. Čas na kontrolu rostl lineárně s jejich počtem, a to přesně ve chvíli, kdy by se měl Michal věnovat pečení.

Proč nestačil vibe coding

Michal už si sám zkoušel část procesu zjednodušit pomocí AI agentů. Fungovalo to napůl a v mezerách se ztrácely objednávky. Plně odladěný automatizovaný systém se vibe codingem postavit nedá. Nebo dá, ale za cenu duševního zdraví vibe codera. :D

Řešení: administrace + WhatsApp

Navrhl jsem administraci napojenou na jeho web, kde si Michal nastaví odběratele a jejich parametry. Zbytek běží sám:

Ráno systém pošle nepravidelným odběratelům nabídku přes WhatsApp Business API.
Odběratel jedním tlačítkem objednávku potvrdí, nebo zvolí Změnit.
Výsledek se zapíše do systému a pekárna přesně ví, kolik čeho upéct. Bez telefonování a bez ručního přepisování.

Ukázková šablona ranní zprávy s návrhem objednávky.

Jenže lidé nejsou tlačítka

V ideálním světě by to stačilo. Ve skutečném světě si odběratel řekne: „Dneska chci o dva bochníky víc a bez rohlíků.“ Proto je tam tlačítko Změnit.

Odběratel prostě napíše, co potřebuje. A tady přichází zádrhel: každý píše jinak. Někdo zkratkami, někdo s překlepy, někdo celým odstavcem. Chtít po zákaznících, aby psali podle přesného schématu, je utopie.

Tady nastupuje AI (nebo SI, pokud jste Trump team):

Pokud systém zprávu rozpozná sám podle formátu, zpracuje ji rovnou.
Pokud ne, pošle text přes API jazykovému modelu, který z něj vytáhne predikovanou objednávku.
Tu systém pošle odběrateli zpět na WhatsApp k potvrzení.
Odběratel potvrdí, nebo opraví, a smyčka se opakuje, dokud objednávka nesedí. 🔄

AI tak nikdy nerozhoduje sama. Jen překládá lidskou řeč do strukturovaných dat a poslední slovo má vždy zákazník.

Životní cyklus objednávky od ranní nabídky po plán pečení. Kliknutím otevřete diagram v plné velikosti.

Výsledek

Michal neztrácí ráno čas obvoláváním a přepisováním objednávek. Odběratelé objednávají tam, kde už stejně jsou, tedy ve WhatsAppu. A pekárna každý den ví přesně, kolik má upéct.

Automatizace nemusí znamenat velký e-shop. Někdy stačí dobře navržený proces, jeden komunikační kanál a AI nasazená přesně tam, kde selhává rigidní logika.

Zanikne softwarový inženýr? Stačí se podívat do staré rýsovny

2026-09-15T00:00:00.000Z

Skoro každý týden čtu, že AI brzy nahradí programátory. Někdy od lidí, kteří AI prodávají, jindy od lidí, kteří se jí bojí. Když nad tím přemýšlím, vybavuje se mi pořád jedna stará fotografie.

Rýsovna z poloviny 20. století. Každá čára výkresu vznikala ručně a na jeden projekt byla potřeba celá hala lidí.

Rýsovna zmizela, rýsovač zůstal

Než přišlo CAD, vznikal každý technický výkres ručně. Každá čára, každá kóta, každá oprava. Když se změnilo zadání, překreslovalo se. Proto firmy jako automobilky nebo letecké závody měly celé haly plné rýsovacích stolů.

V 80. a 90. letech přišly počítače a CAD. Práci, na kterou byla dřív potřeba hala, dnes zvládne pár lidí u monitorů. Jenže profese nezmizela. Americký úřad pro statistiku práce (BLS) v roce 2025 pořád eviduje kolem 180 tisíc rýsovačů a do roku 2035 u nich čeká zhruba stejný počet. Jako důvod, proč jich nepřibývá, uvádí CAD a BIM: zvedají produktivitu a spoustu práce si inženýři a architekti udělají sami.

Rýsovač tedy nezanikl. Změnila se jeho práce. Místo tahání čar modeluje, kontroluje a koordinuje. A výkresů vzniká víc než kdy dřív, jen je kreslí méně rukou.

Co říkají lidé z oboru

Názory se rozcházejí hodně, takže jen pár hlasů, které mi přijdou podstatné.

Dario Amodei (Anthropic) v lednu 2026 v Davosu řekl, že AI modely by během šesti až dvanácti měsíců mohly zvládat „většinu, možná všechno“, co dnes dělají softwaroví inženýři. Zmínil i to, že někteří jeho inženýři už kód sami nepíšou, jen ho po modelu upravují. Zároveň ale přiznal, že si není jistý, jak rychle to půjde.

Grady Booch, jeden z otců UML a dnes hlavní vědec IBM pro softwarové inženýrství, to v únoru 2026 v podcastu The Pragmatic Engineer vidí opačně. Podle něj začíná „třetí zlatý věk softwarového inženýrství“. Programátoři se prý báli o práci už při nástupu kompilátorů a vyšších jazyků a AI je jen další vrstva abstrakce. Jeho shrnutí: nástroje se mění, problémy, které řešíme, ne.

A data? BLS v roce 2025 eviduje přes 1,7 milionu softwarových vývojářů a do roku 2035 u nich čeká růst o 10 %. Studie ze Stanfordu (Brynjolfsson a kol., 2025) zatím vidí hlavně jedno: v profesích nejvíc zasažených AI, mezi nimi i u vývojářů, ubylo práce pro lidi mezi 22 a 25 lety zhruba o 13 %, zatímco u zkušenějších kolegů v týchž oborech počet místo drží nebo dál roste.

Co si o tom myslím já

AI mi dnes napíše velkou část kódu. Ale to, co napíše, jsem musel nejdřív vymyslet, vysvětlit, zkontrolovat a pak za to ručit. Stejně jako u pekárny s objednávkami přes WhatsApp: AI překládá, rozhoduje člověk.

Mizí podle mě přepisování jasného zadání do kódu. Formuláře, CRUD, opakované vzory. Přesně to, na čem se dřív učili junioři. A to je ta nepříjemná část: když zmizí práce, na které se začínalo, kde se vezmou budoucí senioři? Rýsovači tohle řešili taky. Cesta do oboru se změnila, nezavřela.

Naopak roste cena všeho kolem. Pochopit, co klient skutečně potřebuje. Navrhnout systém, který vydrží. Poznat, kdy AI vygenerovala nesmysl, který jen dobře vypadá. Bezpečnost, testy, provoz. A taky komunikace s lidmi, kteří o softwaru nic vědět nechtějí.

Navíc, když je software levnější, dělá se ho víc. Dřív by malá pekárna na systém na míru nedosáhla, dnes je to normální zakázka. Takových projektů bude přibývat, a někdo je musí navrhnout a postavit tak, aby fungovaly.

Závěr

Rýsovací prkno zmizelo. Rýsovač zůstal, jen dělá jinou práci a je jich méně na jeden výkres. U softwaru to podle mě dopadne podobně. Programátor, který jen přepisuje zadání do kódu, má opravdu problém. Inženýr, který rozumí problému, systému i lidem, kolem kterých se to celé točí, bude potřeba i dál. Možná víc než dnes.

Zdroje

Rok v SMS finance, vstup Stelar Holdingu a čtyři dny s AI

2026-07-08T00:00:00.000Z

Poslední měsíc byl tak nabitý událostmi, že jsem ani nestíhal psát průběžné aktualizace. Nakonec z toho vzniklo jedno velké shrnutí, o které se chci podělit. Mám za sebou tři zásadní milníky.

1. Rok s SMS finance, a.s.

Je to přesně rok, co vyvíjíme a modernizujeme interní systémy. Moje bilance po dvanácti měsících je víc než kladná.

Nejen v IT se člověk setká s různými přístupy. Od projektů, kde se místo výsledků řešilo spíš ego nebo chyběly reálné předpoklady pro vedení lidí, až po zdravé prostředí. O to víc oceňuji současné nastavení. Funguje tu skvělá organizace a leadership postavený na schopnostech lidí, kteří mají pro své role skutečné parametry.

2. Vstup Stelar Holding, a.s. a nová éra

Velký zvrat přišel na konferenci k 25. výročí firmy, kde byl oznámen nástup Stelar Holding, a.s. na trh. Pod křídla nového holdingu se zároveň plně začlenila společnost SMS finance, a.s., nově jako Stelar Advisory a.s.

Pro náš IT tým to byla zpočátku spíš velká neznámá a upřímně i trochu strašák, hlavně kvůli vazbám na skupinu EAG a její silný technický tým. Realita implementace je ale často jiná než první prezentace. Místo hrozby nám tahle změna otevřela dveře k novým pohledům na práci, k technologiím a k zajímavým výzvám.

3. Intenzivní čtyřdenní AI workshop

Všechno to završil týmový AI workshop. Každý z nás odprezentoval své metodiky a ukázal, jak AI nástroje reálně používá při každodenní práci. Sjednotili jsme úroveň know-how v týmu a vytvořili interní playbook.

Na závěr jsme se potkali se zástupci skupiny EAG. Podělili se s námi o praktické zkušenosti z implementace AI, které jsou pro nás cennou inspirací a pomohou nám správně nasměrovat další vývoj.

Jarní převlékání: Apartmány Luka a SVUMSP mají nový kabát

2026-05-14T00:00:00.000Z

Weby jsou trochu jako oblečení. Když je kupujete, padnou vám. Pak pár let utíkají, vy se změníte, móda se změní, a jednoho dne zjistíte, že pořád chodíte v bundě, ze které jste dávno vyrostli. Funguje to, nikdo si nestěžuje, ale chlubit se tím nechcete.

Přesně tak na tom byly dva weby, ke kterým mám osobní vztah. Oba kdysi vznikly z bezplatných šablon HTML5 UP, oba fungovaly a oba si letos na jaře řekly o nový kabát.

Apartmány Luka: z jednoho apartmánu tři

Apartmány Luka stojí v Buchlovicích, kousek od zámku, hradu Buchlov a vinic. Místo, kam se jezdí na kolo, na víno a na klid.

Starý web tomu moc neodpovídal. Uvítal vás tmavou plochou s nápisem a kolečkem, pod kterým se teprve něco skrývalo. Popisoval jen jeden apartmán, přestože dnes jsou k dispozici tři. A když se člověk podíval do zdrojového kódu, našel tam ještě poznámky typu „This is Massively“, tedy pozdrav od původní šablony. Kabát s cedulkou z obchodu, abych tak řekl.

Nový web staví na tom, co host opravdu řeší:

Kde to je a jak se tam dostanu. Tlačítko „Navigovat k nám“ je vidět hned nahoře a dole je mapa.
Jak si to zarezervuju. Rezervace jde jen po telefonu, takže telefonní číslo je na očích pořád, i na mobilu jedním ťuknutím.
Který apartmán vybrat. Luka 1, 2 i 3 mají vlastní záložku s kapacitou, cenou a galerií fotek, které se dají proklikat na celou obrazovku.
Kolik to stojí a kdy můžu přijet. Ceník a časy check-inu a check-outu jsou přehledně v jedné sekci, žádné hledání v odstavcích.
Co dělat v okolí. Zámek, Buchlov, Smraďavka, Kovozoo, Živá voda, Luhačovice, cyklostezky. Okolí je tady stejně důležité jako postel.

Nový kabát Apartmánů Luka. Hrozny místo tmavé plochy a telefon vždycky po ruce.

Technicky je to záměrně jednoduché: jedna statická stránka, žádný redakční systém, žádné pluginy, které by bylo potřeba každý měsíc aktualizovat. Úvodní fotka se načítá podle velikosti displeje, takže mobil nestahuje obří obrázek pro monitor. Web je rychlý, nemá co rozbít a majitel se o něj nemusí starat. U ubytování s pár apartmány je to přesně to, co chcete.

SVUMSP: umělci si zaslouží galerii, ne nástěnku

SVUMSP je Sdružení výtvarných umělců Moravsko-slovenského pomezí. Funguje od roku 1990, sídlí v Uherském Brodě a za ty roky jím prošlo přes 150 profesionálních i neprofesionálních výtvarníků. Lidé, kteří se celý život zabývají tím, jak věci vypadají.

A právě proto bylo trochu paradoxní, že jejich web vypadal jako slušně udržovaná nástěnka. Starou verzi jsem kdysi dělal já, taky na šabloně HTML5 UP, a na svou dobu sloužila dobře. Jenže doba se posunula. Web působil stroze, fotky děl neměly prostor vyniknout a texty na úvodní stránce šly změnit jen přes mě.

Nový web jsem postavil kolem tří věcí:

Lidé. Úvodní stránku otevírá společná fotka členů. Sdružení není instituce, ale parta lidí, a to má být vidět hned. Každý umělec má vlastní kartu s portrétem a portfoliem a v rubrice Umělci se dá filtrovat.

Díla. Galerie prací dostala prostor, fotky se otevírají ve velkém náhledu a dají se listovat. Celé to nese klidná, teplá paleta a klasické patkové písmo Playfair Display, které k výtvarnému umění sedne líp než strohé technické fonty.

Samostatnost. Sdružení si teď většinu věcí spravuje samo. Články, almanachy, umělce, jejich fotky i texty na úvodní stránce, sekci po sekci. Nikdo nemusí čekat, až budu mít čas.

SVUMSP v novém. Nejdřív lidé, pak díla, nakonec historie.

Pod kapotou zůstal osvědčený PHP framework Nette, jen všechno kolem dostalo pořádný úklid.

Ostravský TechMeetup se vydařil na jedničku

2025-11-07T00:00:00.000Z

Ostravský TechMeetup se vydařil na jedničku. Organizace celé akce byla skvělá a program nabídl jak technicky nabité, tak neformální a inspirativní přednášky. Přesně takový mix, který člověka nenechá u jednoho tématu a přitom ho neunaví.

Přednáška, která stála za to

Zvlášť bych chtěl vyzdvihnout přednášku Michaëla Pilaetena. Byla velmi energická a přínosná. Nabídla hodnotný pohled na kvalitu produktů a výstupů jako takovou, tedy ne jen na kvalitu kódu nebo na to, jestli prošly testy, ale na to, co ve výsledku dostane člověk, který produkt používá.

Právě tenhle pohled mnoha lidem často uniká. Ve vývoji se snadno soustředíme na technickou stránku a na vlastní práci, a méně už na to, jak výstup vnímá ten, pro koho je určený.

Co si odnáším

Díky organizátorům i řečníkům. Pokud budete mít příležitost na ostravský TechMeetup zajít, doporučuji.

Anonymní režim: před kým vás schová a před kým ne

2025-08-14T00:00:00.000Z

Komiks, který anonymní režim vystihuje líp než jeho úvodní obrazovka. Pan Inkognito je pořád ten samý prohlížeč.

Spousta lidí si anonymní okno zapíná s pocitem, že se stali neviditelnými. Tenhle rozpor mezi očekáváním a skutečností došel v roce 2020 až k hromadné žalobě na Google za 5 miliard dolarů. Prohlížeče od té doby na úvodní obrazovce popisují přesněji, co režim umí. Málokdo ji ale čte, tak to shrnu.

Co anonymní okno opravdu dělá

Chová se, jako byste prohlížeč spustili poprvé na novém počítači. Po zavření všech anonymních oken smaže:

Historii procházení a vyhledávání.
Cookies a data stránek. Dokud je okno otevřené, fungují normálně, po zavření vás odhlásí ze všech účtů.
Údaje z formulářů, hesla a adresy pro automatické doplňování.
Mezipaměť (cache).
Oprávnění k mikrofonu nebo kameře, která jste během relace webu dali.

Jedna výjimka: stažené soubory zůstanou v počítači. Pokud je nemá vidět nikdo další, musíte je smazat ručně.

A platí to i naopak. Jakmile okno zavřete, historii té relace už z prohlížeče zpětně nikdo nevyčte. Ani vy.

Kdo vás vidí dál

Prohlížeč po sobě uklidí, ale samotné připojení běží úplně normálně. Anonymní režim nešifruje provoz a neskrývá IP adresu. Vidí vás tedy:

Navštívený web. Zná vaši IP adresu, a tím přibližnou polohu. Jakmile se přihlásíte, ví přesně, kdo jste, a celou návštěvu si k vám připíše.
Poskytovatel internetu. Vidí domény, ke kterým se připojujete, čas i objem dat.
Zaměstnavatel nebo škola. Na firemní síti jde provoz přes jejich servery, proxy a DNS. Správce ho může sledovat v reálném čase a pracovní notebook může mít monitorovací software přímo v sobě.
Reklamní systémy. Bez blokování sledovačů vás poznají i bez cookies, podle otisku prohlížeče (fingerprinting): rozlišení, fonty, systém, hardware.

Kdy se hodí

Přes to všechno je to užitečný nástroj. Jen na jiné věci, než si lidé myslí:

Cizí nebo sdílený počítač. Nezůstanou po vás hesla ani historie.
Dárky. Na společném počítači se neobjeví výmluvná reklama.
Dva účty u jedné služby naráz. Druhý účet bez odhlášení prvního.
Testování webu. Čistý stav bez cache a uloženého přihlášení. Tohle používám denně.
Citlivé dotazy. Nic se neuloží do historie ani do našeptávače.

Když chcete víc

Pokud má zůstat skryté, co děláte, i před poskytovatelem nebo správcem sítě, anonymní okno nestačí:

VPN zašifruje provoz a nahradí vaši IP adresu adresou svého serveru. Poskytovatel pak nevidí, kam chodíte, a weby vidí jen VPN.
Prohlížeč nebo rozšíření blokující sledovače. Brave má blokování v základu, do Firefoxu a Chromu přidejte uBlock Origin nebo Privacy Badger.
Aktualizovaný systém a antivirus. Před keyloggerem nebo spywarem vás žádný anonymní režim neochrání.

Prohlížeče mezitím pracují na dalším: maskování IP adresy, blokování otisků zařízení a šifrování DNS dotazů (DNS over HTTPS), aby na místní síti nikdo neviděl, jaké domény načítáte.

Anonymní okno je dobré koště na stopy v počítači. Nic víc, nic míň. Skutečné soukromí stojí na návycích, ne na jednom tlačítku v menu.

CarBase: informační systém pro autobazary, který jsem postavil sám

2025-07-21T00:00:00.000Z

Když se řekne autobazar, většina lidí si představí plochu plnou aut a prodejce v kanceláři. Málokdo ale vidí, kolik papírování se za každým autem skrývá. Kupní smlouva, zprostředkovatelská smlouva, plná moc, příjmový a výdajový doklad, štítek za okno, historie vozidla. A to všechno pro každé auto znovu a ručně.

Jak to celé začalo

CarBase vznikl jako zakázka pro jeden konkrétní autobazar. Majitel měl jasný problém: agenda kolem aut se vedla napůl v tabulkách, napůl v šuplíku a smlouvy se psaly pořád dokola podle wordových šablon. Každá chyba v SPZ nebo VIN se pak tahala přes několik dokumentů.

Cíl byl jednoduchý: mít jedno místo, kde je auto, jeho majitel, fotky, smlouvy i doklady, a dokumenty si nechat vygenerovat, místo je přepisovat.

Co CarBase umí

Evidence vozidel

Každé auto má svou kartu se vším, co prodejce potřebuje: specifikaci, VIN, SPZ, rok výroby, platnost STK, stav tachometru, výkon a obsah motoru, palivo, převodovku, karoserii, počet majitelů, nákupní a prodejní cenu i výbavu. Výrobci, modely, typy paliva, karoserie a výbava jsou číselníky, které si bazar spravuje sám v nastavení.

Auto prochází stavy přijato → inzerováno → prodáno, případně vráceno, a každá změna se zapisuje do historie vozidla. Je tak vždycky dohledatelné, co se s autem dělo a kdy. Vozidla jde rychle filtrovat a vyhledávat.

Fotky a soubory

Ke každému autu se nahrávají fotky a dokumenty. Jedna fotka se nastaví jako hlavní, ostatní jdou smazat. Smazané soubory nemizí okamžitě, systém je umí zobrazit a s jejich úklidem počítá. Na úvodní stránce je graf využitého úložiště, aby bylo vidět, kolik místa fotky zabírají.

Klienti

Evidence klientů, tedy prodávajících i kupujících, navázaná na vozidla a smlouvy. U firem bylo v plánu načítání údajů podle IČO přímo z registru ARES.

Smlouvy a doklady na jedno kliknutí

Tohle byla hlavní přidaná hodnota. Z údajů o autě a klientovi systém vygeneruje PDF:

zprostředkovatelskou smlouvu,
kupní smlouvu, která navazuje na zprostředkovatelskou, aby šly dokumenty v logickém pořadí,
příjmový a výdajový doklad s cenami převzatými z karty vozidla,
výdejku při předání auta,
štítek za okno s parametry vozidla.

Smlouvy i auta mají vlastní číselné řady, takže čísla dokumentů navazují a nic se nepřekrývá. Pro dokumenty mimo standard je k dispozici vlastní dokument s textovým editorem, kde si bazar napíše cokoliv dalšího.

Přehled na úvodní stránce

Po přihlášení je vidět, kolik aut se prodalo, kolik se vrátilo, kolik je inzerovaných a kolik čeká na inzerci. Pod tím je historie posledních změn u aut a seznamy kupních a zprostředkovatelských smluv.

Pod kapotou

CarBase je webová aplikace postavená na PHP frameworku Nette s databází MySQL a šablonami v Latte. PDF se generují přes mPDF z HTML šablon, na frontendu běží jQuery, Naja pro AJAXové překreslování bez načítání celé stránky, Chart.js pro grafy a Froala jako textový editor. Pro budoucí napojení byl připravený i základ API v GraphQL.

Nic exotického, ale stabilní stack, který se dobře nasazuje a dobře udržuje.

Od jednoho bazaru ke čtyřem

Systém nejdřív běžel jen u bazaru, pro který vznikl. Postupně se ale ukázalo, že stejné problémy řeší i ostatní, a CarBase se dostal ke čtyřem odběratelům.

Celé to vznikalo v době, kdy AI byla ještě v plenkách. Žádní agenti, žádné generování půlky aplikace z jednoho promptu. Každý formulář, každá PDF šablona, každá logika navazování dokumentů se psala ručně. Analýza, návrh databáze, backend, frontend, šablony smluv, nasazení i podpora. Na jednoho člověka to byl docela záhul.

Proč to skončilo u čtyř

Bohužel mi tehdejší podmínky ve staré práci nedovolily se projektu věnovat tolik, kolik by si zasloužil. Na další rozvoj, obchod a nové odběratele už nezbyl prostor, a tak se číslo zastavilo na čtyřech a systém se dál nerozvíjel.

Zpětně to beru jako cennou zkušenost. CarBase mi ukázal, jak vypadá produkt od první schůzky s klientem až po provoz u více zákazníků, a jak důležité je mít na rozvoj produktu nejen nápady, ale i čas a podmínky. Dnes by s dnešními AI nástroji šlo podobný systém postavit výrazně rychleji. Ta podstatná část, tedy pochopit, jak bazar opravdu funguje, a převést to do procesu, ale zůstává stejná.