Обслуживание — это знать, что форма сегодня отправляет, а не что сервер отвечает 200.

Путь запроса до человека, а не доступность сервера. `GET /api/health/contact` проверяет одним запросом две вещи: что токен канала уведомлений по-прежнему действителен — через реальный вызов к поставщику, с timeout 8 секунд — и что журнал запросов можно записать. Отвечает 200, когда оба условия верны, и 503, когда нет. Вы можете вызвать его прямо сейчас на этом сайте: он публичный именно потому, что возвращает только логические значения.

Потому что видимая часть продолжает работать. Страница загружается, кнопка отвечает, сервер возвращает 200 на всех страницах — ломается только конечное звено, у которого нет интерфейса. На этом сайте токен bot для уведомлений был отозван: поставщик отвечал `401 Unauthorized`, маршрут возвращал 500, а запрос нигде не записывался. Три реальных сбоя примерно за семь часов, видимые только в журнале ошибок процесса. Поэтому журнал теперь записывается до отправки: даже если уведомление падает, запрос существует.

Запрос уже записан в журнал с собственным идентификатором, а вторая строка журнала говорит `failed` и указывает причину. Посетителю отвечают отдельно — «мы получили запрос, но не смогли уведомить» — а не ложным успехом. Код ответа различает причину: 502 означает, что поставщик ответил плохо, 503 — что у нас не хватает учетных данных. В 3 часа ночи разница между этими двумя вариантами решает, звонить ли кому-то или нет.

Не без ворот. Публикация запускает `npm audit` на уровне `high` и останавливается на уязвимостях этого уровня, если продолжение не подтверждено явно; сначала она проверяет и доступную память сервера, с порогом 500 MB, потому что сборка, запущенная на тесном сервере, оставляет приложение остановленным. Сборка выполняется с чистого состояния: каталог сборки и зависимости удаляются, установка идет из файла блокировки. Что обновляется автоматически, а что проходит через проверку человеком, определяется по проекту, а не по умолчанию.

По скрипту проверки, запускаемому после публикации, который открывает каждую страницу продукта и падает, если отсутствует код 200, якорь вопросов, якорь примера или канонический адрес. Затем он проверяет карту сайта — чтобы она содержала каждый продукт и не содержала языковых вариантов, которые нельзя открыть — и `robots.txt`, чтобы он не блокировал ресурсы рендеринга. Каждая проверка в списке соответствует чему-то, что уже ломалось однажды. Скрипт передается вместе с проектом.

Процесс автоматически перезапускается при превышении порога 500 MB, с задержкой 4 секунды между попытками и экспоненциальным увеличением, но останавливается после 10 нестабильных перезапусков за короткий промежуток. Это важно: петля падения, которая перезапускается бесконечно, выглядит здоровой на панели и молча потребляет сервер. Мы предпочитаем, чтобы процесс оставался остановленным и видимым.

24 месяца, применяемые кодом, а не только заявленные: порог — это переменная со значением по умолчанию 730 дней, а более старые файлы удаляются при каждой новой записи, без планировщика, о котором можно забыть. У каталога права `0700`, у файлов `0600`, а путь находится вне каталога версии, чтобы история пережила публикацию. IP-адрес не сохраняется целиком: он обрезается до `/24` для IPv4 и `/48` для IPv6, при этом читается последний hop из заголовка, а не первый — первый отправляет клиент и он ничего не значит.

Да, и обычно именно они самые дорогие. Та же проходка по коду, которая исправила форму, выявила две вещи, о которых никто не сообщал: лимит запросов можно было полностью обойти, потому что читался первый элемент из заголовка перенаправленных адресов — именно тот, который отправляет клиент; и маршрут, который инициировал телефонные звонки, был открыт анонимно, за наш счет, хотя компонент, который его использовал, был демонтирован. Оба случая были исправлены и проверены на production. Чего мы не можем обещать, так это что находим все; что мы можем обещать — что сообщаем и о том, что вы не просили.

Это не служба безопасности с круглосуточным мониторингом и не центр операций. Мы не гарантируем процент доступности без измерения, которое его подтверждает — и, чтобы было ясно, в данный момент мы не публикуем такую цифру для собственного сайта. Мы не берем на себя ответственность за стороннюю платформу, к которой у нас нет доступа. И мы не считаем страницу, отвечающую 200, доказательством того, что все работает: именно в этом и была проблема, с которой все, что написано выше, и началось.