Два дня не работала Сетка — вместе с частью сервисов, которые живут на той же инфраструктуре. В ленте сейчас много про резервирование, геораспределённость и «а я этим не пользуюсь». Я про другое — про то, что в эти два дня видел клиент.

Клиент не знает, сколько у компании дата-центров. Он знает три вещи: работает ли то, за чем он пришёл; может ли он кому-то написать; сказали ли ему, что происходит. И в публичных сбоях этого года третий пункт проваливается первым.

Три наблюдения — только механика.

Первое. Поддержка падает вместе с продуктом. Весной, когда отключилась облачная зона в Персидском заливе, у одного из банков двое суток не работали ни приложение, ни колл-центр, ни чат — они жили на той же платформе. Клиент, у которого не прошёл платёж, не мог даже спросить, прошёл ли он.

Второе. Молчание дороже недоступности. Заглушка «мы знаем и чиним» появилась у Сетки не сразу. Двое суток простоя людям простить легко; тишину в первые часы — сложнее.

Третье. Риск переезжает к клиенту. По типовому облачному договору ответственность за такой сбой несёт не провайдер. Значит, и план «что мы делаем, когда платформа лежит» — не у провайдера, а у вас.

Что из этого следует для поддержки. Три вещи, которые проверяются без бюджета на второй ЦОД.

Минимальный сервис. Список из трёх–пяти операций, которые клиент должен иметь возможность сделать, когда не работает всё остальное. Например: узнать статус платежа, заблокировать карту, получить ответ «что происходит». Состав у каждого свой — важно, что это не продукт целиком, а короткий список.

Канал вне зоны поражения. Хотя бы один способ связи, который не живёт на той же платформе, что продукт: телефонная линия, статус-страница у другого провайдера, бот в мессенджере. Что угодно — но на другой инфраструктуре.

Первое сообщение — раньше первого обращения. Это про массовый сбой, когда не работает то, за чем клиент пришёл, а не про каждый инцидент — о локальных вещах трубить не нужно, их чинят молча. Но для массового шаблоны пишутся до сбоя, а не во время. Метрика одна: время от начала сбоя до первого сообщения клиентам. Если оно больше, чем время, за которое клиент успевает написать сам, поддержка уже проиграла.

Отказоустойчивость инфраструктуры — вопрос к инженерам. Отказоустойчивость отношений с клиентом — вопрос к поддержке, и проверяется она не в презентации, а в первые тридцать минут сбоя.