Обслуговування означає знати, що форма доставляє сьогодні, а не що сервер відповідає 200.

Шлях запиту до людини, а не доступність сервера. `GET /api/health/contact` перевіряє одним запитом дві речі: що токен каналу сповіщень і далі дійсний — через реальний виклик до провайдера, з timeout 8 секунд — і що журнал запитів можна записати. Він відповідає 200, коли обидва твердження істинні, і 503, коли ні. Ви можете викликати його просто зараз на цьому сайті: він публічний саме тому, що повертає лише логічні значення.

Тому що видима частина продовжує працювати. Сторінка завантажується, кнопка відповідає, сервер повертає 200 на всіх сторінках — ламається лише фінальна ланка, яка не має інтерфейсу. На цьому сайті токен бота сповіщень було відкликано: провайдер відповідав `401 Unauthorized`, маршрут повертав 500, а запит ніде не записувався. Три реальні збої приблизно за сім годин, видимі лише в журналі помилок процесу. Саме тому журнал тепер пишеться до доставки: навіть якщо сповіщення падає, запит існує.

Запит уже записаний у журнал із власним ідентифікатором, а другий рядок у журналі каже `failed` і причину. Відвідувачу відповідають окремо — «ми отримали запит, але не змогли сповістити» — а не хибним успіхом. Код відповіді розрізняє причину: 502 означає, що провайдер відповів погано, 503 — що в нас бракує креденціалів. О 3-й ночі різниця між ними вирішує, чи дзвонити комусь, чи ні.

Не без воріт. Публікація запускає `npm audit` на рівні `high` і зупиняється на вразливостях цього рівня, якщо продовження явно не підтверджено; спочатку також перевіряється доступна пам’ять сервера, з порогом 500 MB, бо збірка, запущена на тісному сервері, залишає застосунок зупиненим. Збірка робиться з чистого стану: каталог збірки та залежності видаляються, встановлення виконується з файла блокування. Що оновлюється автоматично, а що проходить через людську перевірку, визначається на проєкті, не за замовчуванням.

За допомогою скрипта перевірки, запущеного після публікації, який відкриває кожну сторінку продукту й падає, якщо бракує коду 200, якоря запитань, якоря прикладу або канонічної адреси. Потім він перевіряє карту сайту — щоб вона містила кожен продукт і не містила мовних варіантів, які не можна відкрити — і `robots.txt`, щоб не блокував ресурси рендерингу. Кожна перевірка в списку відповідає чомусь, що вже ламалося раніше. Скрипт передається разом із проєктом.

Процес перезапускається автоматично після порога 500 MB, з затримкою 4 секунди між спробами та експоненційним збільшенням, але зупиняється після 10 нестабільних перезапусків у короткому проміжку. Це важливо: цикл падіння, що перезапускається нескінченно, виглядає здоровим у панелі керування й тихо споживає сервер. Ми віддаємо перевагу тому, щоб процес залишався зупиненим і видимим.

24 місяці, застосовані кодом, а не лише задекларовані: поріг — це змінна зі значенням за замовчуванням 730 днів, а старіші файли видаляються під час кожного нового запису, без планувальника, про який можна забути. Каталог має права `0700`, файли `0600`, а шлях лежить поза каталогом версії, щоб історія пережила публікацію. IP-адреса не зберігається повністю: вона обрізається до `/24` для IPv4 і `/48` для IPv6, читаючи останній hop із заголовка, а не перший — перший надсилає клієнт і він нічого не означає.

Таке трапляється, і зазвичай саме вони найдорожчі. Та сама перевірка коду, що виправила форму, виявила дві речі, про які ніхто не повідомляв: ліміт запитів можна було повністю обійти, бо читався перший елемент із заголовка перенаправлених адрес — саме той, який надсилає клієнт; і маршрут, що ініціював телефонні виклики, був відкритий анонімно, за наш кошт, хоча компонент, який його використовував, уже було демонтовано. Обидва були виправлені й перевірені на продакшені. Що ми не можемо обіцяти — що знайдемо все; що можемо обіцяти — що повідомимо і про те, чого ви не просили.

Це не сервіс безпеки з цілодобовим моніторингом і не центр операцій. Ми не гарантуємо відсоток доступності без вимірювання, яке його підтверджує — і, щоб було ясно, наразі ми не публікуємо таку цифру для власного сайту. Ми не беремо на себе відповідальність за сторонню платформу, до якої не маємо доступу. І ми не трактуємо сторінку, що відповідає 200, як доказ того, що все працює: саме це було проблемою, з якої почалося все написане вище.