Porque é que os alertas nunca chegam, ou vão parar ao spam?
Em resumo
Vigilância que ninguém ouve é decoração. Os alertas perdem-se de três maneiras — filtrados pelo correio, enviados a quem já saiu, ou enterrados em tanto barulho que ninguém os lê. A correção é o encaminhamento, mais do que um canal para as poucas coisas que interessam, e ser implacável com o que pode interromper alguém.
Um sistema de vigilância tem um só trabalho no momento da avaria: chegar a um ser humano. Tudo o que vem antes — as verificações, os painéis, o histórico — é preparação. E é nesse último passo, a entrega, que a maioria dos sistemas falha em silêncio.
Onde é que um alerta se perde?
Em três sítios: no filtro de spam, numa única caixa de correio, ou debaixo de outros quarenta alertas.
Foi filtrado. A mensagem foi enviada, foi aceite e foi posta numa pasta que ninguém abre. Há uma história que corre entre quem gere sites: uma paragem que durou mais de um dia, e o alerta apareceu depois, no spam, com a hora certa. Não se tinha partido nada. Tudo funcionou exatamente como estava configurado.
Foi para uma só pessoa. A versão clássica vem de quem trata das cópias de segurança: meses sem uma cópia válida, porque os avisos de falha iam para uma única caixa de correio de alguém que já tinha saído da empresa. Um endereço não é um destinatário, é um ponto único de falha com um nome em cima.
Ficou enterrado. Esta é a moderna, e a mais difícil de admitir. Os alertas chegam, todos, sempre, e a certa altura toda a gente deixou de os ler. Um sistema que grita «lobo» quarenta vezes por semana ensinou o seu próprio público a ignorar o quadragésimo primeiro, que é o verdadeiro.
O que corrigir primeiro, e por que ordem?
Primeiro, acaba com o barulho. Uma falha deve ter de se repetir antes de ser anunciada; um pacote perdido não é uma paragem. As coisas que falham juntas — tudo o que está num servidor, tudo o que está atrás de uma linha — devem produzir uma mensagem e uma recuperação, não nove de cada. E quando estás a publicar uma versão nova, os alertas devem ser silenciados de propósito, por ti, em vez de ignorados por hábito.
Depois, encaminha. Agrupa os monitores por quem trata deles de verdade e dá a cada grupo o seu destinatário: esta caixa de correio, aquela conversa, esta pessoa. Quando um contacto é de fora da empresa — o instalador, o fornecedor, a pessoa que abre a loja — dá-lhe os seus próprios alertas, na sua própria língua. Um alerta por que ninguém se sente responsável é um alerta sobre o qual ninguém age.
Depois, escolhe os que merecem interromper. Sê honesto e sê breve: a maioria dos serviços não precisa de acordar ninguém. Os dois ou três que precisam devem chegar a um telefone, porque um telefone a tocar é o único canal que não exige que alguém esteja a olhar para alguma coisa. Monta-o com contenção — só se o serviço continuar em baixo passados alguns minutos, nunca nas horas de silêncio que declaraste, repetir a chamada se a linha estava ocupada — e ele mantém-se credível.
Por fim, guarda registo. Uma chamada telefónica pode ser verificada: se foi atendida, e quanto da mensagem foi mesmo ouvido antes de alguém desligar. É essa a diferença entre «avisámos-te» e «foste avisado».
E os lembretes
A maneira de falhar que ninguém prevê é o alerta que chega, é dado como visto à meia-noite por uma pessoa cansada, e a seguir é esquecido. Um serviço que continua em baixo merece dizê-lo outra vez — ao fim de uma hora, ao fim de seis, depois uma vez por dia — até que alguém o arranje ou decida, deliberadamente, que pode esperar.
O que fazer esta semana
- Envia a ti próprio um alerta de teste em todos os canais que tens configurados e descobre onde é que ele aterra. Metade das vezes o exercício é este e mais nada.
- Substitui todos os destinatários do género «uma caixa de correio» por um grupo, e escreve quem é o responsável de verdade.
- Conta os alertas dos últimos sete dias. Tudo aquilo sobre o qual não agiste é um limiar para mudar ou um monitor para apagar.
- Escolhe os serviços que justificam uma chamada telefónica. Se a lista for maior do que três, é uma lista de desejos, não um plano.
- Verifica que as pessoas de fora da tua empresa que precisam de saber recebem os alertas na sua própria língua.
A medida de um sistema de alertas não é quanto envia. É se, às três da manhã, ainda acreditas nele.
O que não te podemos dizer
- Não podemos garantir que um e-mail chega a uma caixa de entrada: assim que a mensagem sai daqui, se é entregue, arrumada ou filtrada é decisão do sistema de correio que a recebe, e ninguém pode prometer o contrário.
- Não enviamos SMS e não nos ligamos a uma plataforma de piquete separada: os canais são o e-mail, a conversa, os webhooks assinados e uma chamada telefónica, e a lista acaba aqui.
- Não conseguimos chegar a um telefone desligado ou fora de cobertura: podemos dizer-te que tentámos, quando, e o que a linha respondeu, o que já é um facto sobre o qual podes agir.
- Não podemos decidir por ti que avaria justifica acordar alguém. Podemos garantir que, depois de teres decidido, a mensagem chega mesmo.
As perguntas que se fazem mesmo
Porque é que os alertas de paragem vão parar ao spam?
Porque se parecem com as mensagens que os filtros de spam foram feitos para apanhar: geradas por máquinas, repetitivas, enviadas a horas estranhas, muitas vezes com uma ligação. O filtro não está errado em desconfiar; está apenas a fazer um juízo que tu nunca vês. É por isto que um alerta que interessa nunca deve depender só do e-mail.
Qual é a diferença entre um canal e um encaminhamento?
O canal é a maneira como a mensagem viaja — correio, conversa, webhook, telefone. O encaminhamento é quem a recebe. A maior parte das falhas de alerta são falhas de encaminhamento: foi tudo para um endereço, e esse endereço era de alguém que tinha saído, ou estava de férias, ou tinha deixado de ler. Grupos de monitores devem ter os seus próprios destinatários, e cada contacto a sua própria língua.
Recebemos alertas a mais e já ninguém os lê. Por onde começamos?
Por tirar, não por acrescentar. Exige que uma falha se repita antes de ser anunciada. Agrupa o que falha junto — um servidor que cai deve ser uma mensagem, não nove. Silencia o que já sabes, e silencia tudo durante uma atualização. Depois vê o que sobrou: se ainda for demasiado, os limiares é que estão errados, não as pessoas.
Uma chamada telefónica não é exagero?
Para quase tudo, é. Para dois ou três serviços é o único canal que funciona, porque não depende de alguém estar a olhar para um ecrã. Vale a pena montá-la como deve ser: uma chamada só se o serviço continuar em baixo passados alguns minutos, nunca durante as horas de silêncio que declaraste, e uma repetição se a linha estava ocupada ou ninguém atendeu.
Como é que sabemos que um alerta foi mesmo entregue?
No caso de uma chamada telefónica, com exatidão: cada tentativa fica registada com o seu resultado e com quantos segundos da mensagem foram mesmo ouvidos, por isso distingues uma chamada atendida de uma chamada que tocou até ao fim. No e-mail essa certeza não existe, e quem te disser o contrário está a vender-te alguma coisa.