Grupos de 50 domínios e um caminho alternativo com um backup restaurado

Voltamos ao quadro de migração, a aba que ficou aberta enquanto escrevíamos, e outra linha âmbar nos fez parar: um cliente ainda estava para alterar uma pequena configuração.

Aquela linha era o trabalho de verdade. Colocar uma plataforma grande atrás da Cloudflare, um serviço que pode ficar entre um site e o resto da internet, era outra parte do trabalho, e levou dias. Os registros que controlávamos, a papelada necessária para manter os sites confiáveis e o destino para o qual eles apontavam podiam ser tratados em lotes. Scripts faziam a parte repetitiva. Cada lote se verificava antes de o próximo começar.

Por um momento, isso fez o projeto parecer quase pronto. Não estava.

A parte que era de outra pessoa

Milhares de clientes usam seus próprios endereços na web para os sites. Esses endereços ficam em contas que pertencem aos clientes, e a gente não pode entrar e fazer a mudança por eles. A conta pode estar nas mãos de um voluntário da organização, do tesoureiro de um clube ou de quem configurou tudo anos atrás e nunca mais pensou nisso. Essas pessoas não pediram essa migração. Elas têm a própria agenda.

O nome dessa pequena configuração é DNS. É a linha da lista de endereços da internet que diz aos visitantes qual porta usar quando digitam um endereço na web. Mudar isso é simples para quem sabe onde encontrar. Muita gente não sabe onde encontrar, não sabe qual login ainda funciona ou nunca chega a ver o primeiro e-mail.

O que tentamos primeiro

Tratamos a mudança toda como um trabalho técnico. Foi um jeito razoável de começar, porque a parte sob nosso controle realmente andou rápido. Usamos primeiro um grupo pequeno de teste, só alguns itens, antes do grupo maior. Depois, os domínios que controlávamos passaram por lotes automatizados enquanto a gente cuidava de outras coisas.

Funcionou, e essa foi a armadilha. Isso nunca chegou aos milhares de endereços controlados por outras pessoas. O custo foi o tempo: dias de trabalho técnico viraram uma campanha de meses, com cada resposta demorada se tornando mais uma coisa para acompanhar. Também gastou a paciência de cada cliente, porque pedíamos que cada um dedicasse tempo a uma mudança que nunca pediu, em uma conta de cuja existência talvez tivesse esquecido.

Então o trabalho mudou de formato.

O quadro

A resposta foi um quadro ao vivo. Cada endereço controlado por cliente ganhou uma linha com seu estado atual e o próximo passo necessário. Verificações automáticas conseguiam perceber quando o cliente tinha feito a mudança, então o quadro era atualizado pelo que realmente havia acontecido, em vez de esperar que as pessoas respondessem dizendo que tinham feito.

Os endereços avançavam em grupos de 50. O quadro mostrava qual grupo era seguro mexer em seguida. Também deixava os casos travados à vista. Uma linha âmbar havia três semanas era sinal de que o cliente talvez não fosse mudar por conta própria.

Isso importava porque um site não pode simplesmente sumir enquanto alguém se atrasa. Era preciso um caminho alternativo para manter o endereço funcionando durante a espera. Ele se tornou uma parte permanente e ativa do sistema. Era monitorado para detectar problemas, e tinha um backup restaurado de ponta a ponta. Um backup que nunca foi restaurado é como um guarda-chuva ainda na embalagem. Ele pode estar lá, mas você ainda não sabe se vai ajudar na chuva.

Os primeiros e-mails também não resolveram o problema. Os avisos precisavam vir em etapas: uma primeira mensagem, depois um segundo alerta com uma data. O texto não podia presumir que o leitor sabia o que era a configuração ou onde ela ficava. Ele precisava ajudar a pessoa a agir, ou dar algo claro o bastante para ela encaminhar a quem pudesse fazer isso.

O que o quadro não parava de nos ensinar

Quase todo lote novo trazia um detalhe que ninguém previu. Alguns sites que pareciam estar esperando só precisavam renovar a papelada de confiança (Ler em inglês). Algumas telas internas mostravam um status antigo com toda a confiança. Alguns trabalhos de limpeza deixaram renovações antigas rodando. Quarenta tickets que pareciam separados tinham uma causa só.

O impulso original veio de ondas de tráfego automatizado. O motivo duradouro do trabalho é mais tranquilo. Quando todos os endereços apontarem por essa nova porta de entrada, uma futura mudança dos sistemas que rodam os sites ativos não vai exigir outra rodada de pedidos a milhares de clientes para editar suas configurações. A próxima mudança pode ficar dentro dos sistemas que controlamos e não vai virar outra campanha longa.

É a isso que voltamos sempre que vemos uma linha âmbar. Quando uma mudança depende de configurações que pertencem aos clientes, a parte frustrante e humana pode ser o trabalho principal. Ela exige um quadro ao vivo, uma resposta honesta para o que acontece se ninguém responder e um caminho alternativo cujo backup tenha sido realmente restaurado.