Słownik pojęć: AI, poczta i analityka produktowa

Agenci i narzędzia

Agent AI

Model, który sam decyduje o kolejnym kroku, woła narzędzia i powtarza, aż zadanie będzie zrobione.

Pętla agenta

Cykl: wywołanie modelu, wywołanie narzędzia, wynik, który agent powtarza, aż skończy.

Wywoływanie narzędzi (function calling)

Model zwraca ustrukturyzowaną prośbę o uruchomienie zdefiniowanej przez Ciebie funkcji; uruchamia ją Twój kod.

MCP (Model Context Protocol)

Otwarty protokół podłączania narzędzi i danych do aplikacji AI: piszesz serwer raz, używasz z każdego klienta.

Skille agentów (Agent Skills)

Foldery z instrukcjami, skryptami i materiałami, które agent wczytuje dopiero, gdy zadanie ich potrzebuje.

Subagent

Osobne uruchomienie agenta z własnym, świeżym kontekstem, odpalone przez głównego agenta do jednego podzadania.

Harness (uprząż agenta)

Wszystko wokół modelu, co robi z niego agenta: pętla, narzędzia, uprawnienia, pamięć, zarządzanie kontekstem.

Człowiek w pętli (human in the loop)

Człowiek zatwierdza, poprawia albo odrzuca akcję agenta, zanim zacznie działać.

Automatyzacja ofertowania (RFQ)

Agent, który czyta zapytania ofertowe, pyta dostawców o ceny i przygotowuje szkic oferty do akceptacji przez człowieka.

Forward Deployed Engineer

Inżynier, który pracuje z klientem albo zespołem biznesowym i zamienia modele AI w systemy działające w ich środowisku.

Kontekst i prompty

Okno kontekstu

Maksymalna liczba tokenów, które model może przeczytać i napisać w jednym zapytaniu.

Context rot (psucie się kontekstu)

Jakość modelu spada, gdy kontekst zapełnia się starym, nieistotnym albo sprzecznym materiałem.

Context engineering

Decydowanie, co trafia do kontekstu modelu, w jakiej kolejności i kiedy, przez całe zadanie.

Kompaktowanie kontekstu

Zastąpienie starszej części długiej rozmowy streszczeniem, żeby agent mógł pracować dalej.

RAG (retrieval-augmented generation)

Najpierw wyszukanie pasujących dokumentów i włożenie ich do promptu, żeby model odpowiadał na ich podstawie.

Embeddingi

Wektory liczb, w których teksty o podobnym znaczeniu leżą blisko siebie.

Ustrukturyzowane odpowiedzi (structured outputs)

Odpowiedź modelu jest ograniczona do zgodności z podanym schematem JSON.

Jakość i bezpieczeństwo

Ewaluacje (evals)

Powtarzalny zestaw testów, który ocenia funkcję AI, żeby zmiany mierzyć, a nie zgadywać.

LLM jako sędzia (LLM-as-judge)

Użycie modelu z rubryką do oceny wyniku innego modelu.

Halucynacje

Płynna, pewna siebie odpowiedź, która jest nieprawdziwa albo nie wynika ze źródeł.

Prompt injection

Instrukcje ukryte w danych (stronie, mailu, pliku), które model wykonuje, jakby pochodziły od Ciebie.

Guardrails (barierki)

Kontrole wokół modelu, które blokują, poprawiają albo oznaczają wejścia i wyjścia łamiące reguły.

Slop (AI slop, workslop)

Niskiej jakości treść produkowana masowo przez AI: wygląda na skończoną, a mówi niewiele.

Regresja promptu

Odpowiedź, która była dobra, psuje się po zmianie promptu albo modelu.

Zestaw testowy (golden dataset)

Stały zestaw prawdziwych wejść z oczekiwanymi odpowiedziami albo warunkami, którym testujesz funkcję AI po każdej zmianie promptu albo modelu.

Produkcja i koszty

Tokeny

Kawałki tekstu, które model czyta i pisze, i jednostka, za którą płacisz.

Cache promptu (prompt caching)

Ponowne użycie identycznego początku promptu między zapytaniami, żeby był tańszy i szybszy.

Sufit kosztów

Twardy limit wydatków egzekwowany przez Twój kod, na użytkownika, dzień albo miesiąc.

Routing i fallback modeli

Kierowanie każdego zapytania do modelu, który do niego pasuje, i do innego, gdy pierwszy zawiedzie.

AI gateway

Pośrednik między aplikacją a dostawcami modeli, który dodaje logi, cache, limity, rozliczenia i fallbacki.

Obserwowalność LLM

Śledzenie każdego wywołania modelu: wejście, wyjście, czas, tokeny, koszt i wynik dla użytkownika.

Rozumowanie i effort

Modele, które myślą przed odpowiedzią, z ustawieniem, ile tego myślenia zużyć.

Runbook (instrukcja systemu)

Krótki dokument, który mówi komuś innemu, jak prowadzić system: gdzie działa, jak wdrażać, jak go podnieść.

SLA (umowa o poziomie usług)

Umowa, która określa dostępność, czasy reakcji i naprawy dla priorytetów oraz to, co się dzieje, gdy nie zostaną dotrzymane.

Lokalny model językowy

Model językowy działający na sprzęcie, który kontrolujesz, zamiast w API dostawcy, żeby dokumenty zostały tam, gdzie zdecydujesz.

Kwantyzacja

Zapisanie wag modelu na mniejszej liczbie bitów, żeby potrzebował mniej pamięci i działał szybciej, kosztem niewielkiej jakości.

KSeF (Krajowy System e-Faktur)

Centralny system ustrukturyzowanych e-faktur w Polsce: faktury wysyła się jako XML FA(3) i dostają numer KSeF.

Obserwowalność (o11y)

Możliwość ustalenia, co robi działający system i dlaczego, na podstawie danych, które wysyła: logów, metryk i śladów.

OpenTelemetry (OTel)

Otwarty, niezależny od dostawców standard i zestaw SDK do wytwarzania i wysyłania śladów, metryk i logów.

SLO i SLI

SLI to mierzony wskaźnik jakości usługi; SLO to wewnętrzny cel dla niego, ostrzejszy niż podpisane SLA.

Kubernetes (k8s)

System open source, który uruchamia kontenery na wielu maszynach i pilnuje, żeby działały, skalowały się i były połączone.

Edge computing (Workers)

Uruchamianie kodu w centrach danych blisko użytkownika, na CDN, zamiast w jednym centralnym regionie.

Durable Objects

Obiekty Cloudflare z jedną instancją i własnym magazynem: jedno miejsce na świecie, które jest właścicielem kawałka stanu.

Idempotentność (idempotency key)

Operacja jest idempotentna, jeśli wykonana dwa razy daje ten sam efekt co raz. Ponowienia stają się bezpieczne.

Dead letter queue (DLQ)

Osobna kolejka, do której trafiają wiadomości po zbyt wielu nieudanych próbach przetworzenia, żeby nie przepadły ani nie wracały w nieskończoność.

Webhook

Zapytanie HTTP, które jeden system wysyła do drugiego, gdy coś się wydarzy, zamiast tego, żeby drugi ciągle pytał.

Serwer autorytatywny (netcode)

W grach multiplayer serwer decyduje o prawdziwym stanie gry; klienci wysyłają tylko wejścia i przewidują, co się stanie.

UPO (urzędowe poświadczenie odbioru)

Urzędowe potwierdzenie, które KSeF wystawia dla przyjętych faktur, z numerem KSeF i datą wprowadzenia faktury do systemu.

Tryby offline KSeF (offline24, awaryjny)

Sposoby wystawiania faktur, gdy KSeF albo Twoje połączenie nie działa, i dosłania ich później, z kodami QR.

Programowanie z agentami

AGENTS.md i CLAUDE.md

Pliki w repozytorium z regułami, które agent kodujący czyta na początku każdej sesji.

Agent kodujący

Agent, który czyta repozytorium, edytuje pliki, uruchamia komendy i testy oraz otwiera pull requesty.

Hooki

Skrypty, które harness uruchamia automatycznie w stałych momentach, np. przed wywołaniem narzędzia albo po edycji.

Spec-driven development

Najpierw specyfikacja i testy akceptacyjne, potem implementacja przez agentów pod nie.

Vibe coding

Budowanie przez promptowanie i akceptowanie wyniku bez uważnego czytania kodu.

Audit-driven development

Pętla dla kodu, który utrzymujesz: agent AI audytuje go według listy kontrolnej, znaleziska stają się małymi poprawkami, a audyt wraca, aż nic nie zostanie.

Projekty software i wycena

MVP (minimum viable product)

Najmniejsza wersja produktu, która sprawdza, czy ludzie chcą go na tyle, żeby używać albo płacić.

Najryzykowniejsze założenie

To jedno przekonanie, które, jeśli okaże się fałszywe, kończy pomysł. Sprawdź je najpierw.

Fixed price (stała cena)

Umowa, w której zakres i cena są ustalone z góry, a ryzyko niesie wykonawca.

Time and materials (T&M)

Płacisz za faktycznie przepracowane godziny; zakres może się zmieniać, a koszt i termin razem z nim.

Stożek niepewności

Jak szeroka jest uczciwa estymata na każdym etapie: od 0,25× do 4× przy pomyśle, węższa z każdą decyzją.

Prognozowanie z klasy referencyjnej

Szacowanie na podstawie tego, ile naprawdę kosztowały podobne gotowe projekty, zamiast z własnej listy funkcji.

Scope creep (pełzanie zakresu)

Drobne dodatki, z których każdy wydaje się rozsądny, a razem rozsadzają budżet i termin.

PWA (progresywna aplikacja webowa)

Strona z manifestem i service workerem, którą da się zainstalować, używać offline i zapakować do sklepów z aplikacjami.

Budować czy kupić

Wybór między płaceniem za gotowy produkt a budową własnego oprogramowania, z tym, ile każde kosztuje w czasie.

Punkt funkcyjny

Jednostka wielkości oprogramowania liczona z tego, co system robi dla użytkowników, niezależnie od języka programowania.

Multi-tenancy (SaaS dla wielu klientów)

Jedna aplikacja i jedno wdrożenie obsługujące wiele firm-klientów, z danymi każdego klienta trzymanymi osobno.

White-label

Produkt sprzedawany pod marką kupującego: jego logo, kolory i domena na oprogramowaniu, które buduje i utrzymuje ktoś inny.

Merchant of record (MoR)

Firma, która sprzedaje Twój software klientom we własnym imieniu i bierze na siebie płatności, podatki, faktury i zwroty.

Numer D-U-N-S

Dziewięciocyfrowy identyfikator firmy od Dun & Bradstreet, którego Apple i Google wymagają, żeby publikować aplikacje jako organizacja.

TWA (Trusted Web Activity)

Androidowy sposób na wydanie aplikacji webowej jako apki w sklepie: przeglądarka pokazuje Twoją stronę na pełnym ekranie w paczce aplikacji.

Capacitor

Otwarty runtime, który pakuje aplikację webową jako natywne apki na iOS i Androida, z wtyczkami do funkcji urządzenia.

Fractional CTO

Starszy lider techniczny zatrudniony na część etatu, na kilka dni w miesiącu, zamiast pełnoetatowego CTO.

Definition of Done

Wspólna lista tego, co musi być spełnione, żeby praca liczyła się jako skończona: przetestowana, przejrzana, wdrożona, opisana.

Okres zwrotu (payback period)

Ile czasu trzeba, żeby oszczędności albo dodatkowy przychód z inwestycji pokryły jej koszt.

EDI (elektroniczna wymiana danych)

Standardowa wymiana dokumentów handlowych (zamówień, awizacji, faktur) między systemami partnerów, bez udziału ludzi.

CPQ (configure, price, quote)

Oprogramowanie, które pomaga handlowcom skonfigurować produkt, zastosować właściwe ceny i rabaty i przygotować ofertę bez błędów.

Vesting i cliff

Udziały, które wspólnik albo pracownik zdobywa stopniowo w czasie, przy czym przed pierwszym progiem (cliff) nie dostaje nic.

Programming systems product (Brooks)

Nazwa Freda Brooksa na software, który jest zarazem produktem dla innych i systemem współpracującym z innymi; około dziewięć razy droższy niż działający program.

Analityka produktowa

Wskaźnik aktywacji (activation rate)

Odsetek nowych użytkowników, którzy w określonym czasie dochodzą do pierwszego prawdziwego użycia produktu.

Plan śledzenia (tracking plan)

Krótka lista zdarzeń, które wysyła produkt, z nazwami, właściwościami i miejscem, w którym każde jest wysyłane.

Lejek konwersji

Kolejne kroki użytkowników w stronę celu, np. wejście, rejestracja i płatność, z odsetkiem tych, którzy przechodzą z kroku do kroku.

Retencja

Odsetek użytkowników, którzy wracają i znowu korzystają z produktu w kolejnych tygodniach albo miesiącach, zwykle pokazywany per kohorta rejestracji.

Test A/B

Pokazanie dwóch wersji losowo podzielonym użytkownikom i zmierzenie, która rusza wybraną metrykę.

Nagrania sesji (session replay)

Odtworzenie tego, co użytkownik widział i robił na stronie: kliknięcia, przewijanie, zmiany stron i błędy, odtwarzane jak film.

Proxy analityki na własnej domenie

Wysyłanie analityki przez ścieżkę na własnej domenie, żeby blokery reklam, które blokują znane hosty analityczne, nie gubiły danych.

Wyszukiwanie AI

Widoczność w AI

Jak często asystent AI wymienia albo cytuje Twoją markę, gdy klienci pytają go, który produkt wybrać.

GEO (generative engine optimization)

Sprawianie, by asystenci AI wymieniali i cytowali markę i jej strony, tak jak SEO robi to dla wyników wyszukiwania.

llms.txt

Tekstowy plik pod /llms.txt, który streszcza stronę dla modeli językowych: czym jest i które podstrony są ważne.

Poczta: uwierzytelnianie i dostarczalność

SPF (Sender Policy Framework)

Rekord DNS z listą serwerów, które mogą wysyłać pocztę w imieniu Twojej domeny.

DKIM (DomainKeys Identified Mail)

Podpis na każdej wiadomości, sprawdzany kluczem publicznym w Twoim DNS.

DMARC

Polityka, która mówi odbiorcom, co robić z pocztą nieprzechodzącą SPF i DKIM, i dokąd raportować.

Wypis jednym kliknięciem (RFC 8058)

Standardowy sposób, w jaki program pocztowy wypisuje czytelnika jednym żądaniem POST; od 2024 Gmail i Yahoo wymagają go od nadawców masowych.

Nagłówek List-Unsubscribe

Nagłówek maila (RFC 2369) z adresem mailto albo www, z którego programy pocztowe robią własny przycisk „Wypisz”.

Wyrównanie DMARC

Zasada DMARC, według której SPF albo DKIM liczy się tylko wtedy, gdy jego domena zgadza się z domeną w widocznym adresie From.

Phishing

Mail, który udaje wiadomość od kogoś zaufanego, żeby wyłudzić hasło, płatność albo dane osobowe.

BIMI

Twoje logo przy wiadomościach w obsługujących to skrzynkach, gdy DMARC już egzekwuje.

VMC i CMC

Certyfikaty znaku, które dowodzą, że logo z BIMI jest Twoje: Verified (znak towarowy) albo Common (12 miesięcy używania).

MTA-STS i TLS-RPT

Polityka, która każe nadawcom doręczać do Ciebie tylko szyfrowanym, zweryfikowanym połączeniem, plus raporty, gdy to zawodzi.

Twarde odbicie (hard bounce)

Trwały błąd doręczenia: adres albo jego domena nie istnieje albo odrzuca pocztę.

Adres jednorazowy (disposable email)

Tymczasowa skrzynka u dostawcy adresów jednorazowych, używana, żeby zapisać się bez podawania prawdziwego adresu.

Rekord null MX

Rekord DNS (MX 0 .), który mówi, że domena nie przyjmuje żadnej poczty (RFC 7505), więc nadawcy od razu rezygnują, a sprawdzenie listy usuwa jej adresy.

Stopka mailowa

Blok na końcu maila z imieniem i nazwiskiem nadawcy, stanowiskiem i kontaktem, często z logo, dodawany przez program pocztowy albo serwer.

Domena catch-all

Domena, której serwer przyjmuje pocztę na dowolny adres, więc sprawdzenie przed wysyłką nie powie, czy skrzynka naprawdę istnieje.

Pułapka spamowa (spam trap)

Adres e-mail, z którego nie korzysta żaden człowiek, utrzymywany przez dostawcę poczty albo operatora czarnej listy, żeby łapać nadawców z niedbałymi listami.

Adres funkcyjny (role address)

Adres przypisany do funkcji, a nie osoby, np. info@, sprzedaz@ albo pomoc@, często czytany przez kilka osób albo system zgłoszeń.

Rekord MX

Rekord DNS, który wskazuje serwery przyjmujące pocztę dla domeny, każdy z priorytetem: niższa liczba jest próbowana pierwsza.

Lista wykluczeń (suppression list)

Adresy, na które nie wolno już wysyłać: wypisy, twarde odbicia i skargi na spam, sprawdzane przed każdą wysyłką.

TLS-RPT

Rekord DNS, który prosi inne serwery pocztowe o codzienne raporty, gdy szyfrowane dostarczenie do Twojej domeny się nie uda.

CAN-SPAM Act

Amerykańskie prawo o mailach komercyjnych: uczciwe nagłówki i tematy, adres pocztowy, działający wypis i jego realizacja w 10 dni roboczych.

Google Postmaster Tools

Darmowy panel Google dla nadawców: jak Gmail widzi Twoją domenę, odsetek zgłoszeń spamu i czy spełniasz wymagania dla masowych nadawców.

Web i front-end

Numeronim (a11y, i18n, k8s)

Słowo skrócone do pierwszej litery, liczby liter pomiędzy i ostatniej litery, np. a11y od accessibility.

Dostępność cyfrowa (a11y)

Budowanie software’u, z którego mogą korzystać osoby z niepełnosprawnościami: klawiaturą, czytnikiem ekranu, z powiększeniem czy napisami.

WCAG

Web Content Accessibility Guidelines: standard W3C z testowalnymi kryteriami dostępności, na poziomach A, AA i AAA.

Internacjonalizacja (i18n)

Przygotowanie kodu, żeby obsłużył dowolny język i region bez zmian: teksty, daty, liczby, liczbę mnogą i kierunek pisma.

Lokalizacja (l10n)

Dostosowanie produktu do jednego rynku: tłumaczenie, waluta, formaty, teksty prawne, obrazy i ton.

Globalizacja (g11n)

Całość pracy nad wyjściem produktu na wiele rynków: zinternacjonalizowany kod, zlokalizowana treść i procesy wokół nich.

React Server Components (RSC)

Komponenty React, które działają tylko na serwerze, wysyłają wyrenderowany wynik zamiast JavaScriptu i mogą same czytać dane.

Hydracja (hydration)

Krok, w którym JavaScript w przeglądarce podpina się pod HTML wyrenderowany na serwerze i czyni go interaktywnym.

SSR, SSG i ISR

Trzy sposoby renderowania stron: przy każdym zapytaniu (SSR), raz przy buildzie (SSG) albo przy buildzie z późniejszym odświeżaniem (ISR).

Kaskada zapytań (request waterfall)

Zapytania, które czekają na siebie po kolei, choć mogłyby iść równolegle, więc czas ładowania się sumuje.

Pętla zdarzeń (event loop)

Sposób, w jaki JavaScript wykonuje jedno zadanie naraz i kolejkuje resztę: callbacki, promisy (mikrozadania), timery i renderowanie.

Core Web Vitals (LCP, INP, CLS)

Trzy metryki Google mierzące doświadczenie prawdziwych użytkowników: ładowanie (LCP), responsywność (INP) i stabilność wizualną (CLS).

Server-Sent Events (SSE)

Standardowy sposób, w jaki serwer wypycha do przeglądarki strumień aktualizacji przez jedną długą odpowiedź HTTP.

Unia dyskryminowana (discriminated union)

Typ w TypeScripcie złożony z wariantów, które mają wspólne pole z literałem, więc kompilator wie, z którym wariantem masz do czynienia.

Walidacja w runtime (Zod)

Sprawdzanie w czasie działania, czy dane z zewnątrz (zapytania, API, pliki, modele) pasują do typu, który zakłada kod.

Testy regresji wizualnej

Automatyczne zrzuty stron albo komponentów porównywane z zatwierdzonymi, żeby niezamierzone zmiany wyglądu psuły build.

Design system (Storybook)

Wspólne komponenty, tokeny i zasady, które utrzymują spójność produktu między ekranami, zespołami i platformami.

Strona statyczna

Strona serwowana jako gotowe pliki (HTML, CSS, obrazy), bez kodu serwera i bazy danych uruchamianych przy każdej wizycie.

Headless CMS

System zarządzania treścią, który ma tylko panel edycji i API; sama strona jest budowana i hostowana osobno.

Przekierowanie 301

Odpowiedź HTTP mówiąca, że strona przeniosła się na stałe, więc przeglądarki i wyszukiwarki przechodzą pod nowy adres.

Wdrożenia i utrzymanie

CI/CD

Ciągła integracja i ciągłe dostarczanie: każda zmiana jest automatycznie budowana i testowana i może wyjść w dowolnej chwili.

Trunk-based development

Wszyscy scalają małe zmiany do jednej głównej gałęzi co najmniej codziennie, zamiast trzymać długo żyjące gałęzie funkcji.

Wdrożenie blue-green

Dwa identyczne środowiska produkcyjne: nowa wersja trafia do nieużywanego, potem ruch się przełącza, a przy problemie wraca.

Flagi funkcji (feature flags)

Przełączniki w kodzie, które włączają albo wyłączają funkcję dla części lub wszystkich użytkowników bez nowego wdrożenia.

Wzorzec strangler fig

Zastępowanie starego systemu kawałek po kawałku, kierując po jednej funkcji do nowego kodu, aż stary system da się wyłączyć.

Codemod

Skrypt, który automatycznie przepisuje kod źródłowy, używany do aktualizacji i refaktoryzacji w wielu plikach naraz.

Monorepo

Jedno repozytorium z kilkoma aplikacjami i wspólnymi paczkami, wersjonowanymi i zmienianymi razem.

Metryki DORA

Oparte na badaniach miary dostarczania software’u: jak szybko zmiany trafiają na produkcję i jak często zawodzą.

Dług techniczny

Skróty w kodzie i projekcie, które przyspieszają dostarczenie teraz, a spowalniają każdą późniejszą zmianę, dopóki ich nie spłacisz.

Przejęcie projektu (handover)

Przekazanie istniejącej aplikacji nowemu programiście albo zespołowi: dostępy, kod, infrastruktura i wiedza w głowach ludzi.

Aktualizacje zależności (Dependabot, Renovate)

Utrzymywanie bibliotek i frameworków w aktualnych wersjach, zwykle z botami, które otwierają pull requesty z nowymi wersjami.

Kopia zapasowa (zasada 3-2-1)

Trzy kopie danych, na dwóch rodzajach nośników, jedna poza główną lokalizacją, plus regularne testy odtwarzania.

RPO i RTO

Ile danych możesz stracić (RPO) i jak długo możesz nie działać (RTO) po awarii.

Postmortem (bez szukania winnych)

Pisemne omówienie po incydencie: co się stało, dlaczego, jak to obsłużono i co się zmieni, żeby się nie powtórzyło.

Techniczne due diligence

Przegląd oprogramowania, zespołu i procesów firmy przed inwestycją albo przejęciem, żeby wycenić ryzyko techniczne.

Bus factor (współczynnik autobusu)

Ilu ludzi musiałoby zniknąć, żeby projekt stanął. Bus factor równy jeden oznacza, że klucze trzyma jedna osoba.

LTS i EOL (długie wsparcie, koniec wsparcia)

LTS to wydanie wspierane poprawkami latami; EOL to data, po której wersja nie dostaje już żadnych poprawek bezpieczeństwa.

App Store Small Business Program

Program Apple, który obniża prowizję od sprzedaży w aplikacji do 15% dla deweloperów, którzy w poprzednim roku zarobili do 1 mln USD.

Docelowy poziom API (Google Play)

Wersja Androida, pod którą aplikacja deklaruje, że została zbudowana; Google Play co roku podnosi minimum i ukrywa aplikacje, które zostają w tyle.

Strony pamięci 16 KB (Android)

Nowsze urządzenia z Androidem używają stron pamięci 16 KB; aplikacje z bibliotekami natywnymi zbudowanymi pod 4 KB trzeba przebudować, inaczej tam nie ruszą.

Bezpieczeństwo i logowanie

SSO (jednokrotne logowanie)

Jedno logowanie kontem firmowym (Microsoft, Google, Okta) do wielu aplikacji, zarządzane centralnie przez IT.

OAuth

Standard, który pozwala aplikacji działać na koncie użytkownika gdzie indziej (poczta, kalendarz, pliki) bez poznawania hasła.

CSP (Content Security Policy)

Nagłówek HTTP, który mówi przeglądarce, jakich skryptów, stylów i połączeń wolno użyć stronie, ograniczając szkody od wstrzykniętego kodu.

WAF (web application firewall)

Filtr przed aplikacją webową, który blokuje złośliwe zapytania HTTP, zanim dotrą do kodu.

Rate limiting (limit zapytań)

Ograniczenie, ile zapytań użytkownik, klucz albo IP może wysłać w oknie czasu, z odpowiedzią HTTP 429 powyżej limitu.

CASA (Cloud Application Security Assessment)

Ocena bezpieczeństwa oparta na OWASP ASVS, której Google wymaga od aplikacji używających zakresów restricted, np. danych z Gmaila.

CVE (Common Vulnerabilities and Exposures)

Publiczny katalog, który nadaje każdej znanej podatności jeden identyfikator, np. CVE-2025-55182, żeby wszyscy mówili o tym samym błędzie.

CVSS (ocena powagi podatności)

Ocena od 0 do 10, jak poważna jest podatność, na podstawie tego, jak się ją wykorzystuje i co daje atakującemu.

RCE (zdalne wykonanie kodu)

Podatność, która pozwala atakującemu uruchomić własny kod na Twoim serwerze albo urządzeniu przez sieć.

XSS (cross-site scripting)

Skrypt kontrolowany przez atakującego, który działa na Twojej stronie w przeglądarce innego użytkownika, z jego sesją.

SQL injection

Dane wejściowe, które zmieniają sens zapytania do bazy, bo wklejono je do tekstu SQL zamiast przekazać jako parametr.

CSRF (cross-site request forgery)

Inna strona sprawia, że przeglądarka zalogowanego użytkownika wysyła zapytanie do Twojej aplikacji, a ta mu ufa, bo dołączyło się ciasteczko.

SSRF (server-side request forgery)

Nakłonienie Twojego serwera do pobrania adresu wybranego przez atakującego, często wewnętrznego, do którego atakujący sam nie sięgnie.

Zero-day (podatność dnia zerowego)

Podatność, o której atakujący wiedzą albo którą wykorzystują, zanim producent ma poprawkę, więc obrońcy mieli zero dni na łatanie.

Atak na łańcuch dostaw oprogramowania

Atak na software przez to, z czego jest zbudowany: paczkę, narzędzie buildowe, akcję CI albo konto opiekuna.

SBOM (software bill of materials)

Czytelna dla maszyn lista wszystkich komponentów i wersji w oprogramowaniu, jak skład na etykiecie.

OWASP Top 10

Lista dziesięciu najpoważniejszych zagrożeń bezpieczeństwa aplikacji webowych od fundacji OWASP, aktualizowana co kilka lat.

MFA (2FA, uwierzytelnianie wieloskładnikowe)

Logowanie dwoma lub więcej rodzajami dowodu, np. hasłem i kodem z aplikacji albo kluczem sprzętowym.

Passkeys (klucze dostępu)

Logowanie bez hasła parą kluczy zapisaną na urządzeniu albo w menedżerze haseł, odblokowywaną odciskiem palca, twarzą albo PINem.

JWT (JSON Web Token)

Podpisany, zwarty token, który niesie informacje o użytkowniku, np. kim jest i kiedy token wygasa.

CORS (cross-origin resource sharing)

Nagłówki, które mówią przeglądarce, które inne strony mogą czytać odpowiedzi z Twojego API.

Zarządzanie sekretami (wycieki kluczy API)

Trzymanie kluczy API, haseł i tokenów poza kodem i czatami, w magazynie z kontrolą dostępu, rotacją i historią.

security.txt

Mały plik pod /.well-known/security.txt, który mówi badaczom bezpieczeństwa, jak zgłosić Ci podatność.

Row Level Security (RLS)

Reguły w bazie, które wiersz po wierszu decydują, jakie rekordy dany użytkownik może czytać i zmieniać. Brak RLS to częsty wyciek w apkach budowanych z AI.

Shadow IT (shadow AI)

Aplikacje, narzędzia AI i konta, których pracownicy używają albo które budują do pracy, bez wiedzy i kontroli działu IT.

Microsoft Entra ID (dawniej Azure AD)

Chmurowa usługa tożsamości Microsoftu stojąca za logowaniem do Microsoft 365, w 2023 r. przemianowana z Azure Active Directory.

SCIM (provisioning użytkowników)

Standardowe API, przez które system tożsamości firmy automatycznie zakłada, zmienia i usuwa konta użytkowników w Twoim SaaS-ie.

OWASP ASVS (standard weryfikacji bezpieczeństwa aplikacji)

Otwarta lista wymagań bezpieczeństwa dla aplikacji webowych i API, w trzech poziomach, używana przy projektowaniu, testach i ocenach takich jak CASA.

HSTS (HTTP Strict Transport Security)

Nagłówek odpowiedzi, który każe przeglądarce łączyć się z Twoją domeną tylko przez HTTPS przez ustalony czas, żeby nikt nie obniżył połączenia.

Program zgłaszania podatności (VDP)

Publiczna polityka, która mówi badaczom bezpieczeństwa, jak zgłosić lukę, co jest w zakresie i że za zgłoszenie w dobrej wierze nie zostaną pozwani.

Test penetracyjny (pentest)

Autoryzowany, ograniczony w czasie atak testerów bezpieczeństwa na Twoją aplikację, zakończony raportem, co udało się złamać i jak poważnie.

Prawo i zgodność

RODO (GDPR)

Unijne rozporządzenie o danych osobowych: podstawa prawna, minimum danych, prawa użytkowników i zgłaszanie naruszeń, dla każdego, kto przetwarza dane mieszkańców UE.

Umowa powierzenia przetwarzania danych (DPA)

Umowa wymagana przez RODO, gdy dostawca przetwarza dane osobowe w Twoim imieniu: co, po co, jak są chronione i komu jeszcze trafiają.

NIS2

Unijna dyrektywa o cyberbezpieczeństwie, która wymaga od średnich i dużych organizacji z 18 sektorów zarządzania ryzykiem i zgłaszania incydentów.

Cyber Resilience Act (CRA)

Unijne rozporządzenie, które stawia wymagania bezpieczeństwa produktom z elementami cyfrowymi, od inteligentnych urządzeń po software, sprzedawanym w UE.

Prawa autorskie do kodu

Kto prawnie jest właścicielem kodu, za który zapłaciłeś. W Polsce kod wykonawcy staje się Twój tylko przez pisemne przeniesienie praw.

Depozyt kodu źródłowego (escrow)

Dostawca deponuje kod źródłowy u neutralnej strony trzeciej, która wydaje go klientowi, gdy dostawca upadnie albo przestanie wspierać produkt.

Zero data retention (ZDR)

Ustalenie, w którym dostawca AI nie przechowuje promptów i odpowiedzi po zwróceniu wyniku, poza tym, co niezbędne do obsługi zapytania.

AI Act (akt o sztucznej inteligencji)

Unijne rozporządzenie o systemach AI: zakazuje części zastosowań, reguluje te wysokiego ryzyka i nakłada obowiązki przejrzystości i kompetencji AI.

Kompetencje w zakresie AI (art. 4 AI Act)

Obowiązek z AI Act, obowiązujący od 2 lutego 2025 r., żeby firmy używające AI zapewniły pracownikom wystarczające zrozumienie tych narzędzi.

Employer of record (EOR)

Firma, która formalnie zatrudnia kogoś w jego kraju w Twoim imieniu, prowadząc umowy, płace i podatki, a Ty kierujesz pracą.

Umowa B2B (kontrakt B2B)

Sposób, w jaki pracuje wielu polskich programistów: jako własna działalność, z miesięczną fakturą dla klienta zamiast etatu.

Europejski akt o dostępności (EAA)

Unijne prawo, które od 28 czerwca 2025 r. wymaga dostępności od wielu produktów i usług dla konsumentów, w tym sklepów internetowych i aplikacji bankowych.

COPPA (amerykańska ochrona prywatności dzieci w sieci)

Amerykańskie prawo o zbieraniu danych osobowych dzieci poniżej 13 lat: serwisy i aplikacje dla dzieci potrzebują najpierw weryfikowalnej zgody rodzica.

SOC 2 i ISO 27001

Dwa poświadczenia bezpieczeństwa, o które duzi klienci pytają dostawców: raport SOC 2 od audytora i certyfikat ISO/IEC 27001.

VAT OSS (procedura unijna, One-Stop Shop)

Unijny system, w którym sprzedawca rozlicza VAT od sprzedaży konsumentom w innych krajach UE jedną deklaracją we własnym kraju.

NIP i CEIDG

NIP to numer podatkowy na każdej fakturze; CEIDG to publiczny rejestr, w którym sprawdzisz, że jednoosobowa firma w Polsce istnieje.

CCPA i CPRA (kalifornijskie prawo o prywatności)

Kalifornijskie prawo o prywatności konsumentów: prawo do wiedzy, usunięcia, poprawienia danych i sprzeciwu wobec ich sprzedaży lub udostępniania, także sygnałem z przeglądarki.

Global Privacy Control (GPC)

Sygnał przeglądarki, który mówi każdej stronie, że osoba nie chce sprzedaży ani udostępniania swoich danych; Kalifornia i inne stany traktują go jako prawny sprzeciw.

EU-US Data Privacy Framework (DPF)

Podstawa prawna, która pozwala przekazywać dane osobowe z UE do firm w USA certyfikowanych w tych ramach, bez dodatkowych umów o transferze.

Oznaczanie reklamy natywnej

Oznaczanie reklam, które wyglądają jak zwykła treść, np. sponsorowanych pozycji w feedzie albo skrzynce, żeby ludzie odróżnili je przed kliknięciem.

Odwrotne obciążenie (reverse charge)

Przy transgranicznych usługach B2B w UE VAT rozlicza nabywca zamiast sprzedawcy, więc faktura jest bez VAT.