Мы размещаем приложение на сервере, который контролируем, с обратимым выпуском, проверенными резервными копиями и местом, где видно, когда что-то упало.

Где выберете вы, и мы проверяем, что они действительно там. Наши системы размещены в OVHcloud, București, и на Microsoft Azure, Poland Central, обе в Европейском экономическом пространстве, а местоположение было подтверждено путем запроса к службе метаданных виртуальной машины и реестру адреса — а не чтением документации поставщика. Проверка важна: для передачи внутри Европейского экономического пространства глава о передачах из Legea 195/2024 не применяется, и специальные разрешения не требуются. Вне его появляется досье гарантий.

Не всегда. Управляемая платформа — правильный выбор, когда команда маленькая, трафик нерегулярный и ничто в стеке не имеет требований к резидентности. Собственный сервер становится более сильным аргументом в трех ситуациях: когда данные должны оставаться в определенной юрисдикции, когда стоимость становится непредсказуемой в масштабе и когда вы хотите иметь возможность забрать все и уйти. Мы делали и обратную миграцию для собственной системы: с базы данных, размещенной в Соединенных Штатах, на самохостинговый стек в Европейском союзе, с восемью контейнерами — база данных, аутентификация, REST-интерфейс, real-time, хранилище, метаданные, панель и шлюз доступа.

Осуществляется откат, и желательно автоматически. Предыдущая версия остается на диске рядом с новой, а после публикации проверка запрашивает реальную страницу и подтверждает, что обслуживаемый файл — это только что собранный; если нет, скрипт откатывает автоматически. Там, где мы используем атомарное переключение символической ссылки, откат — одна операция. Это не описание из брошюры — механизм уже поймал публикацию со старым пакетом, оставшимся в рабочем каталоге runner-а, и отменил ее.

Ежедневно там, где мы это построили — и подчеркиваем это, потому что автоматическая копия сама по себе не появляется, когда переносите приложение на сервер. Копия запускается в фиксированное время, восстанавливается при следующем boot, если машина была выключена, а если экспорт оказывается пустым, выполнение считается сбоем. Копия уходит и за пределы машины, в регион Европейского союза, с репликацией, versioning, обратимым удалением и автоматическим истечением срока. Тест восстановления является частью поставки: копия, которую никогда не восстанавливали, — это предположение, а не копия.

Это зависит от того, что мы построили, и стоит сказать это без украшений. Проверки здоровья на уровне контейнера и точки состояния приложений существуют; оповещение в канал сообщений, с ограничением частоты, существует там, где мы его построили. Точка проверки состояния, которую никто не запрашивает, — это не мониторинг, а страница. Если вам нужен настоящий мониторинг, это отдельный этап, с внешним наблюдателем, который периодически опрашивает, и с получателем оповещения, которого разрешено будить.

Нет, и это осознанное решение, а не упущение. Цепочка публикации строит и копирует код; и только. Изменения схемы — это версионированные файлы в репозитории, применяемые вручную, со свежей резервной копией за спиной, а компоненты, которые держат свою схему в памяти, после этого перезапускаются. Миграция, автоматически применённая в продакшене процессом, который не знает, что в таблице, — обычный способ безвозвратно потерять данные.

Через три правила. Внешние действия закрепляются за полным отпечатком коммита, а не за тегом — в марте 2026 широко используемое действие было перенаправлено с его тегов на вредоносный код и за 24 часа затронуло более 23.000 репозиториев. Рабочая копия не хранит учётные данные. Публикация выполняется не с ключом доступа, хранящимся на платформе кода, а через собственный исполнитель, который работает на целевой машине, с правами, выданными точечно. Мы признаём, что не все наши более старые проекты ещё соблюдают все три; их миграция — отдельная работа.

Да, и первый проход всегда является инвентаризацией, а не изменением. Что реально работает, под каким надзирателем, с какими версиями, какие порты открыты, какие резервные копии существуют, была ли хоть одна восстановлена когда-либо, какие секреты попали в репозитории и насколько конфигурация в репозитории ещё похожа на файл на сервере. Последняя проверка почти всегда что-то даёт: у нас задокументирован, в собственном проекте, файл конфигурации, отредактированный напрямую на продакшене, который оставил рядом резервную копию с временной меткой.

Вы уходите полностью. Инфраструктура с самого начала находится на ваших аккаунтах у поставщика, а передача включает репозиторий со всеми конфигурациями серверов, процедуру публикации и отката, процедуру проверенного восстановления и список запланированных задач с тем, что делает каждая. Блокировка от случайного удаления группы ресурсов продакшена ставится с установки. Если поставщик ставит ваш уход в зависимость от переписывания инфраструктуры, проблема была в этом, а не в технологии.