Mise en production

À chaque déploiement, une poignée d'utilisateurs voit une erreur réseau. Pas assez pour déclencher une alerte, assez pour générer des tickets. La cause n'est pas dans votre code métier : l'orchestrateur envoie SIGTERM au processus, Node quitte immédiatement, et toutes les requêtes en cours de traitement sont coupées au milieu — y compris celles qui avaient déjà écrit en base et n'ont jamais confirmé au client. Cinq lignes suffisent à supprimer entièrement ce symptôme, et la plupart des services ne les ont pas.

Le second écart entre « ça tourne » et « c'est exploitable » concerne l'observabilité. Un service qui n'expose pas de sonde de santé distincte de sa sonde de disponibilité reçoit du trafic avant d'être prêt. Un service qui journalise en phrases libres ne permet pas de retrouver les requêtes d'un utilisateur donné pendant un incident. Un service dont l'image conteneur exécute son processus en root offre à toute exécution de code arbitraire les pleins pouvoirs sur le conteneur. Cette dernière leçon traite ces points dans l'ordre où ils vous coûteront cher.