Перевірка зворотних посилань заблокувала наш випуск: гіпотетичний постмортем

Що команда перевіряла перед запуском

Дуже мало, як з’ясувалося. Список тестування містив лише відомі домени, тому прогалина залишалася прихованою, доки не з’явилося партнерське посилання. Перевірка на відомому сайті доводить, що інфраструктура працює, але нічого не говорить про домен, який індекс ще не бачив.

Кращі списки тестування мають містити три типи доменів: відомий, вузьконішевий та недавно зареєстрований. Проганяйте всі три через хук, перш ніж довіряти йому.

Які домени покривало тестування?

Тільки прості. Кожен домен у списку мав багату історію, тому кожна відповідь поверталася повною, і ніхто не бачив, як порожня відповідь впливає на публікацію.

Додайте один справжньо новий домен і прочитайте його результат вручну. Якщо в нотатці вказано «bad» (помилка), а мало б бути «unknown» (невідомо), правило потрібно переписати до запуску.

Що пропустила тестова збірка?

Тестова збірка використовувала ключ із здоровим балансом, тому шлях із порожнім балансом ніколи не виконувався. Ніхто не написав тест, який навмисне витрачає кредити.

Тримайте цей шлях під тестуванням. Раз на квартал штучно викликайте 402 і дивіться, що бачить редактор після цього, бо шлях збою, який ніхто не запускає, — це шлях, якому ніхто не довіряє.

Чому це сталося

Шлюз сприймав будь-яку неуспішну відповідь як вирок. Це була корінна причина. Проблема з балансом і невідомий домен — це факти щодо інструментів та індексу, і жоден з них нічого не говорить про сторінку.

Наш граф перебудовується приблизно раз на місяць. Домен, зареєстрований після останнього оновлення, може виглядати порожнім, а новий партнер — це нормальний випадок для сторінки запуску. Ніхто не перевіряв. Команда тестувала хук лише зі старими, відомими доменами, такими як nytimes.com.

Другою помилкою була тиша. Функція записала помилку в логи, але не надіслала сповіщення, і редактор побачив загальне повідомлення про збій без натяку на те, що закінчилися кредити.

Вартість ніколи не була проблемою. За 2 кредити за запит, вся місячна перевірка для цього вигаданого сайту обійшлася приблизно в $0.60, та сама сума, що й рядок на 3000 публікацій у таблиці витрат. Шлюз був дешевим, але коштував їм годину часу в 2026 році.

402 заслуговує на окрему рядок. Передоплачений баланс — це стан, який можна відстежувати, тому простий алерт на рівні 10 000 кредитів, що становить $1, спрацював би за кілька днів раніше.

Як було написано виправлення

Команда розділила один загальний збій на три, бо кожна відповідь має свого власника. 401 — це проблема ключа, 402 — це стан розрахунків, а порожня відповідь для нового домену — це просто unknown (невідомо). Кожна з них отримує свою гілку та своє повідомлення. Це й є вся зміна.

Нікому не потрібно було читати стек викликів, щоб знати, що сталося. Назва сповіщення вказує на стан, а редактор бачить речення, яке каже, що робити далі.

Чому поріг сигналу балансу встановлено значно вище нуля?

Десять тисяч кредитів — це $1 за опублікованою ціною, невелика сума, яка все ж дає достатньо попереджень, коли вона надходить достроково. Встановлюйте сигнал там, де його побачить людина, а не в логах, які ніхто не відкриває в п’ятницю.

Перевірка, яка гучно падає раз на день, краща за тиху, яка падає під час запуску.

Узгодьте число з командою та запишіть його в тому ж місці, що й правило обертання ключів, щоб їх переглядали разом.

Чи має новий домен вважатися збоєм?

Ні. Домен, який індекс ще не бачив, — це факт щодо індексу, а не щодо сторінки. Зберігайте його як unknown (невідомо) з датою та дозвольте редактору вирішити, чи чекати наступного оновлення.

Те саме правило стосується будь-якої тонкої відповіді. Сприймайте її як відсутні дані, а ніколи як вирок щодо партнера.

Логуйте відповіді unknown (невідомо) в окремий список, щоб закономірність була видна на наступному перегляді, а не була прихована в загальному журналі.

Питання, які поставила команда після події

На зустрічі з огляду виникла та сама горстка питань у кожній версії цієї історії. Ось як вигадана команда на них відповіла і чому ці відповіді відрізнятимуться в різних організаціях.

Жодна з цих відповідей не є універсальною, і кожна залежить від призначення сторінки. Головна ідея — мати відповідь на папері до наступного випуску.

Чи мав шлюз блокувати випуск?

Для цієї вигаданої команди — ні. Перевірка посилань — це сигнал, побудований на місячному індексі, і вона не має бути єдиним бар’єром між редактором і запуском.

Запишіть політику одним реченням, щоб наступний інженер міг відрізнити заплановане блокування від багу.

Чи запобігла б більша кількість кредитів?

Вона б затримала проблему, а не виправила дизайн. Більший баланс також може вичерпатися, а шлюз, який сприймає будь-яку неуспішну відповідь як вирок, все одно заблокує перший невідомий домен.

Виправлення — це розділення на три відповіді плюс сигнал, що спрацьовує заздалегідь. Баланс — лише частина історії.

Задайте те саме питання будь-якому шлюзу, який ви будуєте: який збій залишиться непомітним, і хто помітить його першим?

Примітка щодо гіпотетичного сценарію

Реальні команди будуть відрізнятися. Ваша може блокувати випуск за вагомих причин, наприклад, на регульованому сайті, де кожне вихідне посилання перевіряє людина. Чудово. Просто зробіть це свідомим вибором.

Руководство з веб-хуків перелічує ті ж самі рішення як чек-лист, а список міфів охоплює переконання, які привели цю вигадану команду в пастку.