Przemysław Zalewski

Apka z AI ma już użytkowników

Z MVP z AI do produktu, za który ludzie płacą

Apka działa, pierwsi użytkownicy chcą więcej, a każda zmiana psuje coś innego. Biorę to na siebie w Twoim kodzie: testy, dane, które trzymają, płatności, sklepy i monitoring, w trzytygodniowych wycinkach, bez przepisywania od zera.

Zobacz cenę i termin → Umów bezpłatne 30 minut

Pierwszy wycinek, 3 tygodnie: 15 300⁠–⁠30 360 zł netto · 102⁠–⁠138 h Szczegóły w konfiguratorze →

Przemysław Zalewski

Brzmi znajomo?

Problemy MVP z AI, które rozwiązuję w 2026

Czemu każda nowa funkcja psuje coś innego w mojej apce z AI?

W ankiecie wśród 200 liderów technologicznych z USA (New Relic, 10 czerwca 2026) 82% miało w ostatnich sześciu miesiącach co najmniej jedną awarię produkcyjną spowodowaną kodem z AI, a 78% zgłosiło więcej incydentów po wdrożeniu takiego kodu.

Piszę testy na ścieżkach, którymi naprawdę chodzą Twoi użytkownicy, dodaję kopię testową i wydania, które da się cofnąć, a potem rozwijam aplikację w trzytygodniowych wycinkach w Twoim kodzie, bez przepisywania od zera. W październiku 2026 sprawiłem, że każde automatyczne wdrożenie backendu aplikacji czeka na testy danego commita, więc nieudany build już się nie wdraża.

Czy kod z Lovable albo Claude’a jest dość bezpieczny, żeby brać za niego pieniądze?

W raporcie Veracode 2026 GenAI Code Security Report z 28 lipca 2026 modele AI nadal oblewały testy bezpieczeństwa w około 44% zadań, prawie tak samo jak w 2025, a modele wyspecjalizowane w kodzie nie były bezpieczniejsze od ogólnych (Veracode).

Najpierw poprawiam to, od czego zależą pieniądze i zaufanie: rejestrację, płatności i dane poszczególnych użytkowników, a każdą poprawkę zamieniam w test uruchamiany przy każdym pull requeście. Dwa razy przeprowadziłem aplikację przez ocenę bezpieczeństwa CASA od Google, z zaliczeniem w styczniu i październiku 2026. W 2023, bez zlecenia, zamknąłem w Sandtime logowanie przez Google z niezweryfikowanym adresem (klasyczna droga do przejęcia konta) i zaostrzyłem sprawdzanie adresów przy logowaniu przez Microsoft i Apple.

Masz to u siebie? Umów bezpłatne 30 minut →

Klucze API wyciekły z aplikacji zrobionej vibe codingiem?

GitGuardian naliczył 28,6 mln nowych sekretów w publicznych commitach na GitHubie w 2025, a commity współtworzone przez Claude Code ujawniały sekrety mniej więcej dwa razy częściej niż średnia (GitGuardian 2026).

Przenoszę klucze na serwer, wymieniam te, które wyciekły, dodaję skanowanie sekretów w CI i ustawiam limity wydatków na kontach AI i chmury, żeby jeden wyciek nie nabił rachunku. W kwietniu 2026, gdy dostawca proxy, z którego korzystaliśmy, ogłosił wyciek, zauważyłem, że ostrzeżenie od dwóch tygodni leżało w skrzynce, której nikt nie pilnował, i zgłosiłem, że trzeba wymienić dane dostępowe.

App Store odrzucił moją aplikację z AI przez udostępnianie danych?

Od aktualizacji wytycznej Apple 5.1.2(i) z 13 listopada 2025 aplikacja musi jasno informować, że dane osobowe trafiają do zewnętrznego AI, i najpierw uzyskać wyraźną zgodę użytkownika (Apple Developer News).

Dodaję krok zgody i etykiety prywatności, wysyłam do modelu tylko to, czego funkcja potrzebuje, i prowadzę aplikację przez weryfikację w App Store i Google Play. Patriot Mail działa w App Store na iOS i macOS. We wrześniu 2026 przygotowałem etykiety prywatności i dostępności Patriot Mail w App Store na podstawie samego kodu, przypisując każdy deklarowany typ danych do kodu, który go zbiera.

Masz jeden z tych problemów? Umów bezpłatne 30 minut →

Zakres

Co robi z MVP produkt

Wydania bez strachu

Testy na ścieżkach, którymi chodzą użytkownicy, kopia testowa i wydanie, które da się cofnąć, żeby nowa funkcja nie kładła starych.

Dane, które trzymają

Schemat, który przeżyje kolejną funkcję, migracje zamiast ręcznych poprawek i źródła, które nie padają, gdy zepsuje się scraper.

Konta, płatności i sklepy

Rejestracja, plany, faktury, App Store i Google Play, tak żeby obca osoba mogła zapłacić bez pytania Cię, jak.

Monitoring, kopie i koszty

O błędzie wiesz przed użytkownikiem, wczorajsze dane da się odtworzyć, a rachunek za hosting rośnie wolniej niż liczba użytkowników.

Proces

Jak to wygląda

  1. Rozmowa i przegląd ręczny

    Przechodzę z Tobą przez apkę i zapisuję, co dzieli ją od produktu.

  2. Lista z godzinami

    Pozycje w trzech grupach, produkt, system i utrzymanie w ruchu, każda z godzinami, żebyś wybrał, co najpierw.

  3. Pierwszy wycinek w trzy tygodnie

    Najbardziej bolesne pozycje, zrobione w Twoim kodzie i wydane, bez przepisywania od zera.

  4. Potem kolejny wycinek albo więcej

    Kolejne wycinki według tej samej stawki albo dłuższa współpraca jako inżynier lub partner biznesowy.

Gdzie to pasuje

  • Apka z Claude, Lovable, Bolta albo Replita, która ma prawdziwych użytkowników i ciągle się sypie.
  • Projekt po godzinach, za który ludzie chcą płacić, a nie ma jeszcze płatności ani regulaminu.
  • Apka gotowa do App Store albo Google Play, której nikt nie przeprowadził przez weryfikację w sklepie.

Dlaczego produkt to około 9× pracy programu

Fred Brooks narysował tę siatkę w The Mythical Man‑Month (1975): zamiana programu w produkt to około 3× więcej pracy, włączenie go w system to kolejne 3×, a jedno i drugie naraz to około 9×. Utrzymanie w ruchu (operacje, bezpieczeństwo i zgodność, skala) to nasza trzecia oś, z grubsza kolejne 3×. Stąd uczciwy zakres: od 10 do 90 razy tyle, ile zajęła pierwsza wersja. AI obniżyło koszt tylko pierwszego pola. Reszta siatki została.

Program (1×)

Działa na komputerze autora, na danych autora, kiedy autor go uruchomi.

Produkt (≈3×)

Działa u każdego: przetestowany, opisany, z obsłużonymi przypadkami brzegowymi i możliwy do utrzymania przez kogoś innego.

System (≈3×)

Działa z innymi systemami: jasne interfejsy, integracje, części testowane razem.

Produkt systemowy (≈9×)

Jedno i drugie naraz. To mają na myśli użytkownicy, kiedy mówią, że chcą za to płacić.

Doświadczenie

Dowody

Jeśli potrzebujesz poprawki na kilka godzin, a nie produktu, zacznij od ratunku.

Patriot Mail: klient poczty z AI przez CASA Tier 2 do App Store

Problem
Nowy klient poczty z AI na web, iOS i macOS, budowany w Sanddev, potrzebował oceny bezpieczeństwa CASA Tier 2 od Google, zanim mógł czytać Gmaila, i miał działać dla starszych osób.
Co zrobiłem
Byłem głównym inżynierem w Sanddev. Napisałem plan dostarczenia, ukształtowałem wizję produktu i potraktowałem prompt injection przez niezaufaną pocztę jako ograniczenie projektowe, zanim jakikolwiek model dotknął skrzynki. Kontrole CASA i OWASP ASVS stały się zestawem testów Playwright na każdym pull requeście. WCAG 2.2 AA pilnuje automatyczna bramka axe.
Efekt
Poprowadziłem CASA Tier 2 do zaliczenia w styczniu 2026, z poprawkami po zewnętrznym pentescie, a coroczną ponowną ocenę, zatwierdzoną w październiku 2026, też prowadziłem; kwestionariusz zamienił się w test na każdym PR. W App Store na iOS i macOS od kwietnia 2026. Skalowanie tekstu do 200% i tryb spokojnej poczty dla starszych użytkowników. Przy tej ocenie pięć punktów wróciło z powodu braków w dowodach; najpierw poprawiłem kod, potem przesłałem uzupełnione dowody, i wszystkie pięć przyjęto 27 października.

CASA Tier 2 iOS + macOS WCAG 2.2 AA Otwórz ↗

Zobacz też: SaaS i MVP · Aplikacje mobilne i desktopowe

Sandtime.io, budowany w Sanddev: founding engineer, osiem platform, jedna baza kodu

Problem
SaaS do śledzenia czasu musiał żyć tam, gdzie ludzie pracują: w trayu, przeglądarce, telefonie i sklepach z aplikacjami.
Co zrobiłem
Napisałem pierwotną wizję produktu i architekturę w 2018 i zrobiłem pierwszy commit. Wrappery React Native na iOS i Android, Electron na macOS, Windows i Linux, rozszerzenie Chrome, routing multi-tenant, SSO, usługi w Dockerze, subskrypcje Paddle i Mac App Store, CI/CD.
Efekt
Osiem platform wydanych i utrzymywanych na produkcji. Jedyny inżynier aktywny w każdym roku produktu, 8000+ commitów i blisko połowa wszystkich merge’ów do głównej gałęzi. W samym 2026: 270+ wydań w dziesięć miesięcy, około 99% supportu odpowiedzianego przeze mnie i program zgłaszania podatności z publiczną Hall of Fame.

8 platform 8000+ commitów od 2018 Otwórz ↗

Zobacz też: Aplikacje mobilne i desktopowe · SaaS i MVP

Oferta: Narzędzie Twojej firmy dla innych firm (SaaS)

CASA Tier 2 zamienione w zestaw testów Playwright

Problem
Dostęp OAuth do Gmaila wymaga co roku oceny CASA od Google. Kwestionariusz nie zatrzymuje regresji.
Co zrobiłem
Każda kontrola CASA i OWASP ASVS zakodowana jako test Playwright. E2E i regresja wizualna w sześciu konfiguracjach przeglądarek i urządzeń, na każdym pull requeście.
Efekt
CASA Tier 2 zaliczone, przegląd OAuth Yahoo zaliczony, a coroczny obowiązek stał się ciągłą kontrolą.

CASA Tier 2 OWASP ASVS 6 targetów

Zobacz też: TypeScript i Node.js · Aplikacje mobilne i desktopowe

Chcesz znać kwotę przed rozmową?

Pierwszy wycinek, 3 tygodnie: 15 300⁠–⁠30 360 zł netto · 102⁠–⁠138 h

Zobacz cenę i termin → Umów bezpłatne 30 minut

Warto wiedzieć

Limity, w które MVP z AI wpada przed pierwszym płacącym

Logowanie Google w trybie Testing staje na 100 osobach

Zewnętrzna aplikacja OAuth Google w trybie Testing ma limit 100 wpisanych testerów, a tokeny odświeżania wygasają po 7 dniach (pomoc Google Cloud, Google OAuth).

Darmowe projekty Supabase się usypiają

Darmowy projekt jest wstrzymywany po około tygodniu małej aktywności bazy i można go przywrócić do roku. Płatne plany się nie usypiają (Supabase).

Supabase wycofuje klucz anon

Supabase wycofuje klucze anon i service_role do końca 2026, a nowe klucze tajne są odrzucane w przeglądarce (klucze API Supabase).

Apple bierze 15 procent od małych deweloperów

Apple pobiera 15 zamiast 30 procent od zapisanych deweloperów z przychodem do 1 mln USD w poprzednim roku (Apple).

Konsumenci w UE mogą odstąpić w 14 dni

Przy treściach cyfrowych prawo odstąpienia zostaje, chyba że konsument wyraźnie zgodził się na start i przyjął do wiadomości jego utratę (dyrektywa 2011/83/UE, art. 16).

Powyżej 10 000 euro VAT idzie do kraju klienta

Powyżej 10 000 euro rocznie transgranicznej sprzedaży konsumentom w UE VAT należy się w kraju klienta, rozliczany przez OSS (Your Europe).

FAQ

Pytania

Mamy wycenę od agencji. Sprawdzisz ją najpierw?
Tak. 4⁠–⁠8 godzin, 720⁠–⁠1440 zł netto: wycena pozycja po pozycji, ryzyka, których nikt nie wycenił, co może wypaść z MVP i czy plan zespołu pasuje do zakresu, na piśmie. Umów rozmowę i przynieś wycenę.
Czym jest produktyzacja MVP?
Doprowadzeniem działającego prototypu do stanu, w którym obcy ludzie mogą na nim polegać i za niego płacić: testy, trwałe dane, płatności, monitoring i wsparcie. U Brooksa to droga od programu do produktu systemowego.
Czy trzeba przepisać apkę?
Zwykle nie. Większość zostaje, a wycinki dodają testy, poprawiają model danych i wymieniają części, które ciągle się psują.
Ile to kosztuje?
Trzytygodniowy wycinek to od 102 do 138 godzin, wyceniony przed startem według stawki z konfiguratora. Najpierw widzisz listę z godzinami i wybierasz, co wchodzi.
Skąd 9× i od 10 do 90×?
Dziewięć razy to Fred Brooks, The Mythical Man‑Month, 1975. Zakres od 10 do 90 razy to nasze oszacowanie po dodaniu utrzymania produktu w ruchu: operacji, bezpieczeństwa i zgodności, skali.
Czy AI nie zrobi też tej części?
Pisze kod szybciej i używam go codziennie: w 2026 około dwóch trzecich zmergowanych pull requestów w dwóch produktach, przy których pracuję, powstało z agentami, a prawie wszystkie przeszły przez mój review albo merge. Nie decyduje, co produkt ma gwarantować, i nie odbiera telefonu, kiedy przestają działać płatności.
A jeśli pierwszy wycinek nie wyjdzie?
Możesz przerwać w każdej chwili i zostajesz ze wszystkim, co zrobione, bo kod jest w Twoim repozytorium od pierwszego commita. Płatna praca rusza dopiero po Twoim pisemnym „tak” dla zakresu, który mówi, co znaczy „gotowe”, a nic ponad ustalony sufit nie trafia na fakturę bez pytania.
Jesteś jedną osobą. Co, jeśli zachorujesz?
Dowiadujesz się tak wcześnie, jak sam to widzę, a praca czeka bez szkody: kod w Twoim repozytorium, decyzje spisane, instrukcja utrzymania. Każdy projekt kończy się przekazaniem, z którego ktoś inny może dalej pracować. Bez podwykonawców, więc nikt, kogo nie znasz, nie dotyka Twojego kodu.
Mam mały projekt. Możesz po prostu pomóc?
Jeden mały projekt w miesiącu, kilka godzin, za darmo albo za referencję: publiczną opinię i zgodę na pokazanie projektu jako case study.
Czemu testerzy są wylogowywani z logowania Google co tydzień?
Zewnętrzna aplikacja w trybie Testing dostaje tokeny odświeżania na 7 dni i ma limit 100 testerów (Google OAuth, pomoc Google Cloud). Opublikowanie aplikacji znosi te limity.
Czy mogę ruszyć z płatnym produktem na darmowym planie Supabase?
Darmowy projekt usypia się po około tygodniu małego ruchu, co płacący klient zauważy. Płatne plany się nie usypiają (Supabase).
Czemu każda nowa funkcja psuje coś innego w mojej apce z AI?
W ankiecie wśród 200 liderów technologicznych z USA (New Relic, 10 czerwca 2026) 82% miało w ostatnich sześciu miesiącach co najmniej jedną awarię produkcyjną spowodowaną kodem z AI, a 78% zgłosiło więcej incydentów po wdrożeniu takiego kodu. Piszę testy na ścieżkach, którymi naprawdę chodzą Twoi użytkownicy, dodaję kopię testową i wydania, które da się cofnąć, a potem rozwijam aplikację w trzytygodniowych wycinkach w Twoim kodzie, bez przepisywania od zera. W październiku 2026 sprawiłem, że każde automatyczne wdrożenie backendu aplikacji czeka na testy danego commita, więc nieudany build już się nie wdraża.

W 30 minut sprawdzisz, czy do siebie pasujemy

Ty przynosisz problem, ja pytania. Chcesz najpierw liczbę? Konfigurator pokaże godziny, widełki ceny i termin startu.

Umów bezpłatne 30 minut Wolę napisać maila

albo napisz na ciunkos@gmail.com

Po umówieniu dostajesz zaproszenie do kalendarza. Nic więcej do wypełniania.

Moja obietnica

  • Odpowiedź w 24 godziny. Odpowiadam w ciągu 24 godzin w dni robocze. Osobiście, nie bot. Wiadomości z weekendu: do poniedziałku, do 12:00.
  • Spóźnienie znaczy gratis. Jeśli się spóźnię, pierwsza godzina pracy jest za darmo. Nie musisz o to prosić.
  • Zakres na piśmie w 24 godziny. Bezpłatna rozmowa 30 minut bez prezentacji firmy, potem zakres i cena na piśmie w ciągu 24 godzin. Ty decydujesz.
  • Osoba, która wykona pracę. Rozmawiasz z osobą, która wykona pracę. Bez warstwy sprzedaży, bez przekazywania dalej.
  • Odzywam się tylko z czymś nowym. Odzywam się tylko wtedy, gdy mam dla Ciebie coś nowego. Nigdy „czy jest już decyzja?”.
  • Uczciwe „to nie dla mnie”. Jeśli nie jestem właściwą osobą, mówię to na rozmowie i wskazuję kogoś, kto jest.

Rozmowy w tym tygodniu · start od zaraz · Kontrakt B2B · Wrocław, zdalnie

Kod, domena i konta są Twoje od pierwszego dnia. Nic nie trzymam jako zakładnika.