Gli avvisi sono configurati e non arriva nulla: il percorso di consegna che nessuno prova

Il monitoraggio ha due metà. Il controllo che si accorge che qualcosa non va, e il percorso che porta quella notizia a una persona. Quasi tutta l'attenzione va alla prima, e quasi tutti i guasti silenziosi abitano nella seconda.

La parte scomoda: un percorso di consegna rotto e un sistema sano, da dove state voi, si somigliano esattamente. Entrambi producono una casella vuota.

Perché mandare posta da un server ha smesso di essere semplice

Che un server spedisse la propria posta da solo è stato normale a lungo ed è oggi l'eccezione. Sono successe tre cose.

I destinatari hanno smesso di fidarsi dei mittenti sconosciuti. Un messaggio che arriva senza record di politica del mittente coerenti, senza firma e da un indirizzo senza reputazione viene trattato come sospetto, e la versione educata di sospetto è la cartella dello spam.

Le connessioni domestiche e delle piccole aziende sono bloccate a livello di porta. Molti operatori non permettono connessioni in uscita sulla porta della consegna diretta, proprio perché è stata abusata. Il vostro server ci prova, e nessuno vi dice che non è mai uscito nulla.

La reputazione appartiene all'indirizzo, non a voi. Un indirizzo domestico o di piccolo cloud porta la storia che ha. Voi la ereditate.

Nulla di questo rende il problema difficile. Rende la configurazione ingenua silenziosamente inefficace, che è peggio di difficile.

Le due forme che funzionano

Passare per un relay di cui vi fidate già. Il vostro server consegna il messaggio, con credenziali, a un fornitore autorizzato a spedire. È la risposta comune e funziona, con un avvertimento utile: i fornitori spesso pretendono che l'indirizzo mittente sia uno che ospitano loro, quindi un messaggio che sembra venire da altrove viene rifiutato o riscritto.

Non mandare posta affatto e usare un secondo canale. Una notifica push o un messaggio in un servizio che già leggete. Sembra un passo indietro ed è spesso l'opzione più affidabile, proprio perché non dipende dalla recapitabilità della posta.

Qualunque cosa scegliate, la parte importante è la sezione seguente.

La prova che davvero dimostra

Quasi tutti provano le notifiche nello stesso modo sbagliato: si preme il pulsante "invia prova" stando seduti alla macchina, non si vede fallire nulla, e si considera fatto.

Quella prova dimostra che il processo sa consegnare un messaggio. Non dimostra che arriva. Una prova vera risponde a quattro domande:

È finito nella posta in arrivo, non nello spam? Consegna e visibilità sono risultati diversi, e solo uno vi sveglia.

Veniva dall'indirizzo che useranno gli avvisi veri? Una prova inviata con un'identità non dice nulla su un lavoro notturno che ne usa un'altra.

È arrivato all'ora in cui scatterà l'avviso vero? Alcuni percorsi si comportano diversamente alle tre di notte rispetto alle tre del pomeriggio, di solito perché i limiti di frequenza di un relay o i filtri di un fornitore dipendono dall'orario. È un guasto più raro ed è esattamente quello che conta.

Ha retto con la macchina sotto carico? Un messaggio messo in coda durante un guasto vero sta competendo con il guasto.

Guasti che non producono alcun errore

La coda. La posta viene prodotta, accettata localmente, e resta in una coda che ritenta all'infinito. Nulla va perso, nulla viene consegnato, e nessuno guarda la coda perché non c'è stato un errore a spingerlo.

Il mittente riscritto. Il relay accetta il messaggio, cambia il mittente in un indirizzo che non leggete, e lo consegna perfettamente in una casella che nessuno apre.

Il filtro che avete fatto voi. Gli avvisi si somigliano tutti, prima o poi una regola ne intercetta uno, e la regola continua a lavorare molto dopo che avete dimenticato di averla scritta.

L'indirizzo che ha smesso di esistere. La persona se n'è andata, l'alias inoltrava al suo account, e l'inoltro ora cade nel vuoto.

L'unica abitudine davvero utile

Fate in modo che l'assenza di un messaggio significhi qualcosa.

Un sistema che parla solo quando qualcosa non va non si distingue da un sistema che ha perso la capacità di parlare. Un messaggio quotidiano che dice che va tutto bene trasforma il silenzio stesso in un segnale: se oggi non arriva nulla, la prima cosa da controllare è il percorso di consegna, e lo scoprite in una mattina tranquilla invece che durante un guasto.

Per questo un riassunto quotidiano vale più di quanto sembri. Il suo vero compito non è il contenuto, è dimostrare che il canale esiste ancora.

Cosa fa Atlas

Atlas Watch manda un messaggio al giorno invece di un flusso di avvisi, e la scelta è deliberata per il motivo qui sopra. Il riassunto porta lo stato accumulato durante la giornata, e il suo arrivo è di per sé la prova che il percorso è intatto.

Le stesse notifiche possono raggiungere anche il portale dell'account, cosa che qui conta in modo particolare: è un secondo canale che non dipende dalla consegna di posta dell'host. Se ciò che si è rotto è la posta, il canale che non usa la posta è quello che ancora vi avvisa.

E la parte onesta, perché è l'intero tema di questo articolo: quando un controllo non riesce a leggere i suoi dati, Watch dice che non ci è riuscito invece di tacere. Un lavoro di backup mancante e uno sano da fuori sembrano identici, e l'unica cosa che li separa è una sentinella disposta a segnalare la propria cecità.