Woher erfährst du, dass deine Website ausgefallen ist, bevor es dir ein Kunde sagt?
Kurz gesagt
Von einem Kunden darauf hingewiesen zu werden, kostet doppelt: Du hast die Bestellungen verloren, und du wirkst, als hättest du nicht hingeschaut. Es zuerst zu erfahren, braucht drei Dinge: eine Prüfung, die dem folgt, was ein Kunde wirklich tut, einen Alarm auf einem Kanal, den du nicht übersiehst, und genug Zurückhaltung, dass du ihm noch glaubst.
Jeder Ausfall kostet zweimal. Das erste sind die Bestellungen, die du nicht angenommen hast. Das zweite ist der Satz «eure Website ist seit gestern nicht erreichbar», geschrieben von einem Kunden, der es vor dir gemerkt hat — und den bezahlst du in Vertrauen, über einen viel längeren Zeitraum.
Warum merkt es der Kunde zuerst?
Der Kunde merkt es zuerst, weil er etwas Bestimmtes tut: kaufen, sich anmelden, bezahlen. Du schaust auf ein Dashboard, oder gar nicht hin.
Die Geschichten gleichen sich. Eine Website, mindestens einen Tag lang nicht erreichbar, aufgefallen nur, weil ein völlig unbeteiligter Dienst zufällig die Standardseite von Apache anzeigte. Eine andere, bei der die Ausfallmeldung korrekt gesendet worden war und im Spam gelandet ist. In beiden Fällen war es nicht die Überwachung, die versagt hat: Es war das Bemerken.
Reicht die Startseite?
Sie ist das Minimum, und sie beantwortet eine engere Frage, als die meisten denken. Eine Startseite, die 200 zurückgibt, beweist, dass unter dieser Adresse ein Webserver antwortet. Sie beweist nicht, dass die Anmeldung funktioniert, dass der Warenkorb annimmt, dass der Zahlungsschritt lädt, dass die Suche etwas findet oder dass die Bestellbestätigung das Haus verlässt.
Die Ausfälle, die einem Onlineshop weh tun, liegen fast alle hinter der Startseite. Also muss die Prüfung ebenfalls dorthin: eine gespeicherte Abfolge, die eine Seite öffnet, einem Link folgt, einen Schritt abschickt und einen bestimmten Statuscode oder ein bestimmtes Wort auf dem Bildschirm erwartet. Wenn Schritt vier aufhört, die Zahlungsseite zurückzugeben, weisst du es, bevor der erste Kunde aufgibt.
Zwei weitere Prüfungen gehören in dieselbe Gruppe, weil sie nach dem Kalender ausfallen und nicht zufällig: das TLS-Zertifikat, gezählt in verbleibenden Tagen, und das Ablaufdatum der Domain selbst. Ein abgelaufenes Zertifikat ist ein vollständiger Ausfall für jeden Besucher — Wochen im Voraus angekündigt, für alle, die mitgezählt haben.
Was muss zwischen dem Fehler und deinem klingelnden Telefon passieren?
Der Fehler muss bestätigt sein, dem richtigen Netz zugeordnet, auf einem Kanal zugestellt, den du liest, zu einer Meldung zusammengefasst und wiederholt, wenn du ihn vergisst — das entscheidet, ob eine Überwachung nützlich ist oder nur laut.
Er muss bestätigt sein. Eine einzelne fehlgeschlagene Prüfung heisst sehr wenig: ein langsamer Moment, ein verlorenes Paket, ein Schluckauf im Netz irgendwo zwischen den beiden Enden. Zu verlangen, dass sich der Fehler wiederholt, und einen zweiten Messpunkt um Zustimmung zu bitten, entfernt die meisten Fehlalarme, ohne nennenswert zu verzögern.
Er muss wissen, wessen Netz schuld ist. Wenn das, was die Verbindung verloren hat, der Beobachter ist und nicht das Beobachtete, ist das nicht dein Ausfall und darf auch nicht als einer gezählt werden. Solche Fehler gehören in Quarantäne und werden als Hinweis der Plattform gemeldet, nicht als neun Vorfälle auf deinem Konto.
Er muss dort ankommen, wo du bist. E-Mail ist das Protokoll, nicht der Alarm; sie wird gefiltert, einsortiert und am Morgen gelesen. Eine Chatnachricht erreicht dich tagsüber. Ein Telefonanruf ist das, was du für die zwei oder drei Dienste willst, bei denen eine Stunde Stille wirklich teuer ist — und er sollte Ruhezeiten respektieren, damit die Anrufe, die nachts wirklich kommen, etwas bedeuten.
Er darf sich nicht neunmal wiederholen. Wenn ein Server geht, geht alles mit, was darauf läuft. Ein Alarm für einen Ausfall, mit einer einzigen Entwarnung, ist der Unterschied zwischen einem Alarm, den du liest, und einem, den du stummschaltest.
Er muss zurückkommen, wenn du ihn vergisst. Eine Erinnerung, solange der Dienst noch ausgefallen ist — nach einer Stunde, nach sechs, dann täglich —, fängt den Vorfall ab, den um Mitternacht jemand quittiert hat, der danach wieder eingeschlafen ist.
Und die Kunden, die trotzdem fragen
Während du reparierst, muss jemand ans Telefon. Eine öffentliche Statusseite mit einer kurzen Meldung in der Sprache des Besuchers macht aus zwanzig Unterbrechungen einen Link — und sie ist zugleich das Protokoll dessen, was passiert ist, das du später brauchen wirst, wenn jemand fragt, wie lange es gedauert hat.
Was du diese Woche tun kannst
- Schreib auf, was ein Kunde auf deiner Website wirklich tut: anmelden, suchen, in den Warenkorb legen, bezahlen. Das sind deine Prüfungen, nicht die Startseite.
- Bau eine Abfolge, die den wertvollsten dieser Wege abgeht und auf dem letzten Schritt ein bestimmtes Wort erwartet.
- Leg die verbleibenden Tage des Zertifikats und das Ablaufdatum der Domain irgendwohin, wo du sie auch siehst.
- Wähle einen Dienst, der einen Anruf um drei Uhr nachts rechtfertigt — genau einen, ehrlich gewählt — und leite ihn auf einen Anruf um.
- Schreib die Statusseite, bevor du sie brauchst. Während eines Ausfalls schreibt niemand eine gute.
Das Ziel ist kein perfektes Dashboard. Das Ziel ist, dass du beim nächsten Mal schon am Reparieren bist, wenn der erste Kunde schreibt.
Was wir dir nicht sagen können
- Wir können nicht sehen, ob die Bestellbestätigung im Postfach des Kunden angekommen ist: Wir sehen, dass deine Website die Bestellung angenommen hat, nicht, was der Mailanbieter danach mit der Nachricht gemacht hat.
- Wir können zum Testen keine echte Zahlung abschliessen: Eine synthetische Transaktion geht die Schritte durch und hält an, bevor etwas belastet wird — was auf der Seite der Bank passiert, bleibt ausserhalb unseres Blicks.
- Wir können eine Warteschlange, einen Cron-Job oder einen hängenden Import nicht sehen, solange nicht etwas auf deiner Seite eine Zahl preisgibt, die wir lesen können.
- Wir können dir nicht sagen, warum etwas kaputtgegangen ist. Wir sagen dir, was ausgefallen ist, wann, von wo aus und was die Prüfung gesehen hat; die Ursache musst du weiterhin selbst finden, nur mit besseren Startinformationen.
Fragen, die wirklich gestellt werden
Wie schnell würde ich es erfahren?
Das hängt davon ab, wie oft die Website geprüft wird — von alle fünf Minuten im Gratistarif bis hinunter zu alle fünfzehn Sekunden — plus eine kurze Bestätigung. Ein Fehler muss sich auf aufeinanderfolgenden Prüfungen wiederholen, und bei den Überwachungen, bei denen du es so einstellst, muss ihn ein zweiter Messpunkt ebenfalls sehen, bevor jemand geweckt wird. Ein einzelner Aussetzer wird nie zu einem Anruf.
Meine Startseite ist in Ordnung, aber Kunden kommen nicht durch die Kasse. Würde das auffallen?
Nur wenn etwas die Kasse prüft. Eine Startseite, die 200 zurückgibt, beweist, dass der Webserver antwortet, und sonst nichts. Die Prüfung, die das abfängt, ist eine synthetische Transaktion: eine gespeicherte Abfolge von Schritten — Produkt öffnen, in den Warenkorb legen, den Zahlungsschritt erreichen —, bei der jeder Schritt die erwartete Seite zurückgeben muss. Sie geht den Weg, den ein Kunde geht, und hält an, bevor etwas wirklich belastet wird.
Und wenn der Alarm im Spam landet, wie letztes Mal?
Dann gibt es den Alarm nicht. Das ist der häufigste Weg, auf dem ein Ausfall einen ganzen Tag lang läuft: Die Mail wurde gesendet und wurde gefiltert. Nimm für das, was zählt, mehr als einen Kanal — E-Mail fürs Protokoll, eine Chatnachricht, die du ohnehin liest, und einen Telefonanruf für die Handvoll Dienste, die es rechtfertigen, jemanden zu wecken. Ein klingelndes Telefon ist der einzige Kanal, der nicht davon abhängt, dass jemand hinschaut.
Wie vermeide ich, dass ich für nichts geweckt werde?
Indem die Plattform den Ausfall belegen muss, bevor sie eskaliert: mehrere fehlgeschlagene Prüfungen hintereinander statt einer, Bestätigung von einem zweiten Standort, und die Regel, dass dein Dienst nicht als ausgefallen gilt, wenn unser eigenes Netz das Kaputte war. Und dann fasse zusammen, was zusammengehört — ein ausgefallener Server reisst mehrere Überwachungen mit, und das sollte ein Alarm sein, nicht neun.
Was ist mit dem Zertifikat und der Domain?
Beide fallen an einem festen Datum aus, und damit sind sie die am leichtesten vermeidbaren Ausfälle der Welt und zugleich die peinlichsten. Behalte die verbleibenden Tage des Zertifikats und das Ablaufdatum der Domain im Blick, und behandle die Warnung als Aufgabe mit einem Datum, nicht als Benachrichtigung zum Wegklicken.