/Blog

Blog

O designu, technologiích a všemu mezi tím.

15. července 20266 min čtení

Postinstall hook v Axiosu byl celý ten útok

Sapphire Sleet vydala axios@1.14.1 s RATem v postinstall hooku. OIDC Trusted Publishing nikoho nezachránil. Tady je ta konfigurační chyba, která to skutečně umožnila.

Číst dále

8. července 20267 min čtení

Johnny Unar

AI vám přepisuje IAM vrstvu a diff nikdo nekontroluje

Praktický návod, jak auditovat příliš široká oprávnění, která vám kód generovaný LLM potichu zabuduje do codebase na každém PR.

1. července 20269 min čtení

Johnny Unar

Server Actions jsou veřejné endpointy, tak s nimi zacházejte

Každá exportovaná Server Action je volatelný HTTP endpoint bez auth, bez rate limitingu, bez validace. Tady je checklist na zabezpečení, který jedeme na každém Next.js projektu.

29. června 20266 min čtení

Johnny Unar

Past homogenizace: proč všechna AI navržená UI vypadají stejně

72 % designérů dnes používá generativní AI a výsledkem je moře zaměnitelných SaaS dashboardů. Tactile brutalism je inženýrská odpověď.

24. června 20268 min čtení

Johnny Unar

AI kód projde CI a stejně rozbije produkci

Vaše CI bylo postavené na deterministický lidský kód. Výstup AI je pravděpodobnostní a citlivý na kontext a vaše validační pipeline nemá nástroje na to, aby odchytila, kde selhává.

22. června 20266 min čtení

Johnny Unar

Platíte AI za to, aby psala bugy, a pak vám naúčtuje jejich opravu

Velocity metriky, které měří napsaný kód místo dodané hodnoty, jsou způsob, jakým engineering leadeři v roce 2026 potichu klamou vlastní boardy.

17. června 20267 min čtení

Johnny Unar

Testy prošly a produkce stejně spadla: mezera v ověřování AI kódu, kterou nikdo nechce pojmenovat

81 % tech lídrů hlásí víc produkčních selhání z AI kódu, a to i přes 92% jistotu před deployem. Problém není v objemu, ale v samotném pipeline.

15. června 20269 min čtení

Johnny Unar

Vercel breach je návod, jak vás OAuth bordel dostane do kolen

Praktický návod na audit, který odhalí tiché OAuth granty, mrtvé tokeny a nezašifrované env proměnné, díky kterým se z jednoho phishnutého notebooku stane plnohodnotný breach.

10. června 20267 min čtení

Johnny Unar

Vaše AI dev nástroje jsou tím útočným povrchem

Útok na Microsoft GitHub z června 2026 cílil na vývojáře, kteří používali Claude Code a Gemini CLI. Vaše AppSec strategie na tohle nikdy nebyla stavěná.

8. června 20268 min čtení

Johnny Unar

Váš rozpočet na AI kódování kupuje iluzi rychlosti

AI nástroje používá 84 % vývojářů, ale produktivita napříč firmou se drží na 10 až 30 %. Tady je místo, kde se ROI skutečně ztrácí, a co s tím.

3. června 20268 min čtení

Johnny Unar

SLSA Provenance Did Not Save TanStack

84 malicious package versions shipped with valid SLSA Build Level 3 attestations. The attacker hijacked the pipeline, not the credentials. Provenance signed the malware.

1. června 20266 min čtení

Johnny Unar

Iluze produktivity podle METR v reálné práci na kódu

METR zjistil, že senioři byli s AI o 19 % pomalejší, ale cítili se o 20 % rychlejší. Těch 39 procentních bodů rozdílu by mělo změnit způsob, jak měříte AI nástroje.

13. května 20269 min čtení

Johnny Unar

Structured Outputs Guarantee Syntax, Not Sanity

GPT-4o's JSON mode gives you valid JSON. It doesn't give you correct data. Here's why that distinction is destroying pipelines.

11. května 202610 min čtení

Johnny Unar

Postgres + pgvector 0.8 Is Probably Enough for Your Embeddings

Before you spin up Pinecone or Qdrant, read this. We benchmarked pgvector 0.8 HNSW against Qdrant 1.13 and the results will bore you in the best way.

4. května 202612 min čtení

Johnny Unar

Tool Calls Are Not Actions: Build an Approval Queue First

The gap between an LLM returning a tool-call and actually running it against live data is where AI features go wrong. Here's the concrete pattern.

29. dubna 20268 min čtení

Johnny Unar

Structured Outputs Guarantee Shape, Not Semantics

JSON mode doesn't mean your LLM output is safe to use. Here's why you need a schema contract layer on top of it.

27. dubna 20269 min čtení

Johnny Unar

Structured Outputs Don't Mean Your LLM Data Is Correct

Schema conformance is trivially easy. Semantic correctness is where LLM pipelines actually fall apart, and most teams never notice until production.

22. dubna 20269 min čtení

Johnny Unar

Stop mocking your database: Postgres 17 makes it unnecessary

Mocking your DB keeps tests green and production broken. Here's how transaction savepoints and schema isolation fix that.

20. dubna 20269 min čtení

Johnny Unar

Your AI Feature Ships Fast and Rots Faster

Shipping a GPT-4o integration takes a weekend. Maintaining it takes a policy. Here's the one-page lifecycle template we actually use.

13. dubna 20269 min čtení

Johnny Unar

Postgres Outbox Beats RabbitMQ for Webhook Ingestion Under 5k RPM

Before you bolt on SQS for webhook reliability, read this. A Postgres outbox table and a Go worker will serve most startups better.

8. dubna 20269 min čtení

Johnny Unar

Postgres RLS Is Your Real Tenant Isolation Layer, Not Django

Manual WHERE clauses in your ORM will eventually leak tenant data. Here's how to wire Postgres 17 RLS into Django 6.x properly.

6. dubna 202612 min čtení

Johnny Unar

Stop warming pools: adaptive CPU-bursting that actually saves money

Warm pools feel like a win until the AWS bill arrives. Here's a concrete pattern with Go worker pools, Redis token buckets, and KEDA that gets you sub-200ms p95 without paying for idle CPUs.

1. dubna 202612 min čtení

Johnny Unar

Edge na delivery, Go na doménu

Praktický recept, jak striktně rozdělit odpovědnosti mezi Next.js 15 a Go 1.22, včetně authu, streaming SSR, feature flags, observability a bez mlžení kolem edge hype.

30. března 202610 min čtení

Johnny Unar

Jeden npm balíček málem ovládl naši Next.js 15 appku

Postinstall hook, remote loader a pár hnusných hodin v CI. Oprava byla nakonec jednoduchá, jakmile jsme si přestali nalhávat, že supply chain risk v JavaScriptu je jen teorie.

26. března 202610 min čtení

Johnny Unar

Přestaňte stránkovat v clientu, nechte to na Next.js 16

Client-side pagination žere paměť, zhoršuje TTFB a dělá z UX loterii. Cursor API a cache route segmentů tenhle bordel spraví bez velkého přepisu.

25. března 202610 min čtení

Johnny Unar

Rozumné monorepo potřebuje tvrdé hranice

Monorepo funguje i v roce 2026, když hranice berete jako součást kódu a jejich vynucování zautomatizujete. Náš setup je schválně nudný, právě proto drží pohromadě.

24. března 202610 min čtení

Johnny Unar

Jak vyměnit encoder, aniž si rozbijete retrieval

Upgrady embedding modelů rozbíjejí search potichu a draze. Tohle je rollout playbook, který používáme, když potřebujeme nasadit nový encoder bez toho, aby retrieval šel do háje.

23. března 202611 min čtení

Johnny Unar

Observabilita na edge je hlavně problém telemetry

Next.js 15 edge functions a služby v Go 1.22 potřebují jinou observabilitu než dlouho běžící servery. Měřte cold starty, sbírejte sampled flamegraphy a u trace dělejte agresivní tail sampling.

22. března 202610 min čtení

Johnny Unar

Ne shipujte agent chainy SMB zákazníkům

Agentic orchestraci nástrojů to sluší v demu, v produkci je z toho rychle průšvih. Místo toho použijte typed function calls, deterministické proxy vrstvy a explicitní fallbacky.

21. března 202610 min čtení

Johnny Unar

Přestaňte dávat business logiku do Next.js Edge

Edge používejte na rychlá rozhodnutí, stavové operace nechte v Go. Tohle rozdělení řeší bugy v korektnosti, retry logice i observabilitě, které se v SaaS systémech pořád vrací.

20. března 202610 min čtení

Johnny Unar

Ve 12 službách GraphQL gateway zařízněte

Federation přidává governance daň, kterou si většina startupů v mid-stage fázi nemůže dovolit. Typed OpenAPI a consumer-driven contracts vrátí rychlost a udělají chyby viditelné.

19. března 20269 min čtení

Johnny Unar

Django Postgres migrace bez downtime chtějí plán po krocích

Bezpečné změny schématu v Django monolitu nevznikají squashem migrací. Vznikají přes rollout po fázích, backfill a nudnou provozní disciplínu.

18. března 202614 min čtení

Johnny Unar

Multi-tenant Postgres 16: berte RLS jako výchozí volbu, dokud se neprokáže opak

Většina SaaS týmů by měla v Postgresu 16 začít se sdílenými tabulkami, tenant_id a Row Level Security. Těžká část není SQL, ale pooling, migrace a provozní disciplína.

17. března 202610 min čtení

Johnny Unar

Přestaňte rvát analytiku přes Django ORM

Reporting nacpaný do řetězených QuerySetů je pomalý, křehký a nečitelný. Těžkou analytiku vraťte do SQL, tam vám Postgres opravdu pomůže.

16. března 20269 min čtení

Johnny Unar

Shipujte prompty jako kód, jinak počítejte s regresí

LLM feature v produkci degradují potichu. Verzujte prompty, testujte je v CI, pouštějte canary proti shadow trafficu a udělejte rollback nudně spolehlivý.

15. března 20269 min čtení

Johnny Unar

Shipujte jeden správný admin workflow

Konfigurační panely chvíli vypadají jako produktový pokrok, než z vaší SMB appky udělají support mašinu. Vyberte jeden silný admin scénář a držte ho.

14. března 202610 min čtení

Johnny Unar

Berte halucinace jako systémové chyby

Halucinace za sebou nechávají stopy. Měřte pravděpodobnosti tokenů, sledujte provenance evidence a než cokoliv pustíte do produkce, zastavte to levnými verifikátory.

13. března 20269 min čtení

Johnny Unar

GPU, API, nebo CPU batching pro AI inference

Většina rozhodnutí kolem AI infra ve startupech vzniká podle pocitu. Lepší je vzít throughput, tail latency, objem tokenů a ops náročnost a podle toho vybrat variantu, která vás bude bolet nejmíň.

12. března 202611 min čtení

Johnny Unar

Účtujte compute, zabijte pricing per request

Účtování per request trestá automatizaci a odměňuje plýtvání. Měřte compute a ekonomika vašeho SaaS se přestane chovat jako bug.

11. března 202611 min čtení

Johnny Unar

Přepisy API jsou selhání governance

Většina přepisů API nevzniká kvůli technologiím, ale protože týmy ignorovaly kontrakty, verzování a rozumnou deprecation politiku. Stačí trochu governance a vyřešíte to bez zpomalení delivery.

10. března 202610 min čtení

Johnny Unar

Embedding drift vám potichu rozbije retrieval

Vector search se zhoršuje pomalu, a pak najednou. Měřte drift dřív, než spadne recall a upgrade modelu odpálí produkci.

9. března 20269 min čtení

Johnny Unar

Rozbité PDF vám odpálí pipeline, pokud nepřipíchnete každý krok

Naivní OCR a embeddings pipeline na reálných PDF selhávají potichu. Layout-aware a deterministický ingest vám dá drift detection i rollback.

8. března 202610 min čtení

Johnny Unar

Deterministické testy pro RAG pipeline, jinak nedeployujte

LLM feature selhávají potichu. Pořádná testovací sada pro RAG potřebuje zmražené snapshoty, adversariální prompty a kontrakty kolem retrievalu a attributionu.

7. března 202610 min čtení

Johnny Unar

HTMX v Next.js nám výrazně zjednodušil frontend

Pro interní nástroje a B2B portály je HTMX uvnitř Next.js rychlejší na dodání, lehčí a rozbíjí se míň než plný SPA stack.

6. března 20269 min čtení

Johnny Unar

Přestaňte dělat produktová rozhodnutí podle Lighthouse

Lighthouse je v pohodě na smoke testy. Rozhodnutí, která mají dopad na revenue, potřebují RUM, reálné user journeys a performance data napojená na konverze.

5. března 202611 min čtení

Johnny Unar

Přestaňte pro ERP automaticky volit microservices

Většina startupových ERP týmů microservices nepotřebuje. Django 4.2 a PostgreSQL 15 vás dostanou mnohem dál, s menší bolestí a bez nočních překvapení ve dvě ráno.

4. března 202610 min čtení

Johnny Unar

pgbouncer dřív než víc workerů

Limity připojení v Postgresu většinou neukazují na problém se škálováním, ale na špatnou konfiguraci aplikace. Nejdřív opravte pooling, až potom řešte, jestli opravdu potřebujete víc compute.

3. března 202610 min čtení

Johnny Unar

Next.js Edge Functions jsou špatné místo pro skutečnou backend logiku

Edge runtime vypadá v demu rychle, pak narazí na reálné backendové limity. Hybridní model edge plus region vám dá rychlost, aniž by rozbil správnost systému.

2. března 202610 min čtení

Johnny Unar

Modulární Django bez cirkusu

Většina týmů nepotřebuje microservices. Potřebuje Django appky s tvrdými hranicemi, verzováním a upgrade cestou, která nerozbije produkci.

1. března 20269 min čtení

Johnny Unar

Většina RAG systémů selže, protože je nikdo nenavrhuje pro audit

RAG se v produkci nerozbíjí kvůli ničemu exotickému, ale kvůli nudným věcem: slabá provenance, rozmazaný retrieval, žádná evaluace. PostgreSQL s pgvector vyřeší víc problémů než další vector DB.