O que muda no mundo quando alguém diz que subiu

Desenhar o caminho real do código até o cliente, nomear os seis pontos de quebra e colocar um responsável ao lado de cada um.

• Nomear os seis pontos de quebra que separam a correção do cliente.
• Separar número de contratos assinados de número de pontos de falha independentes.
• Marcar, no mapa, cada passo que ainda depende de alguém clicar.

Em linguagem simples

Publicar é colocar uma versão do produto diante do cliente. A frase que o time usa em reunião, subiu, esconde uma cadeia: alguém escreveu a correção, uma máquina montou o pacote, esse pacote foi colocado em algum lugar do mundo, um serviço de nomes ensinou o navegador a encontrar esse lugar, e uma rede entregou os arquivos. Se qualquer elo falhar, o cliente vê erro, e em vários desses elos a empresa não tem contrato nenhum.

Ninguém precisa saber operar esses elos para responder por eles. Precisa saber que existem, quem é o fornecedor de cada um, quem dentro da empresa acorda quando ele cai e o que acontece se ninguém acordar. Esse é o mapa que este módulo produz, e ele cabe em uma página.

1. 01O código vira pacote antes de virar site. Uma máquina alugada monta o produto a partir do texto que o desenvolvedor escreveu. Essa etapa tem teto de tempo, custa dinheiro por minuto e falha por motivos que nada têm a ver com o cliente.
2. 02O nome do site não é o site. O endereço que o cliente digita precisa ser traduzido em um lugar da rede. Quem faz essa tradução é o registro do domínio e o resolvedor de nomes, dois fornecedores que quase nunca aparecem em contrato revisado por jurídico.
3. 03A entrega acontece longe do seu fornecedor. A rede de entrega guarda cópias do produto em centenas de pontos do mundo e responde ao cliente a partir do mais próximo. Ela é a razão de o site parecer rápido e a razão de a fatura ter uma linha chamada transferência de dados.
4. 04Executar é diferente de servir. Página pronta e guardada é servida pela rede. Página que depende de dado do cliente exige que um código rode naquele instante, e é essa execução que consome CPU, memória e tempo, com teto declarado pelo fornecedor.

Confusão mais comum: Achar que contratar dois fornecedores cria duas chances independentes de o produto continuar no ar. A documentação de conformidade da Vercel, atualizada em 8 de julho de 2026, declara que a plataforma usa primariamente a AWS, em 20 regiões. Dois contratos podem repousar sobre a mesma infraestrutura, e nesse caso o plano B cai junto com o plano A.

Explique em voz alta: Diga em voz alta, para alguém de fora da tecnologia, quais são os seis elos entre a correção do seu time e o cliente, e qual deles a sua empresa não contratou.

Três caixas no quadro, seis pontos de quebra na realidade

Quando alguém diz em reunião que subiu, a frase descreve um evento que a maior parte da mesa nunca viu acontecer. O desenho que costuma acompanhá-la tem três caixas e duas setas: escreve, publica, cliente. É um desenho honesto e é curto demais para sustentar qualquer decisão de risco, porque as duas setas escondem seis sistemas diferentes, operados por pelo menos quatro empresas, e apenas duas delas costumam ter contrato revisado.

A prova de que o desenho curto é caro chegou em 5 de maio de 2026. Às 19h30 UTC, a DENIC, operadora do registro do domínio .de, passou a publicar assinaturas DNSSEC inválidas durante uma rotação de chave programada. Resolvedores que validam assinatura são obrigados pela especificação a rejeitar a resposta, e milhões de domínios ficaram inalcançáveis até a mitigação da Cloudflare, às 22h17 UTC. Nenhum desses sites tinha problema. Nenhuma hospedagem contratada falhou. O elo que quebrou foi o registro do domínio, que quase nunca aparece no diagrama de três caixas.

O trabalho deste módulo é substituir as duas setas por seis nomes, colocar um fornecedor e um responsável interno ao lado de cada nome e marcar quais passos ainda dependem de alguém clicar. Feito isso, a conversa sobre custo, contrato e incidente passa a ter onde se apoiar. Sem isso, toda decisão seguinte é tomada sobre um desenho que não corresponde ao que existe.

Modelo operacional

Os seis pontos de quebra, do registro até o banco

Cada item derruba o produto sozinho. A pergunta a fazer em cada linha é sempre a mesma: qual empresa opera isso, quem aqui dentro acorda quando cai e o que acontece nos primeiros trinta minutos.

• Registro do domínio: Quem detém o direito sobre o nome e quem publica as informações de autoridade dele. Falha aqui apaga o produto da internet inteira, sem que nada na sua infraestrutura tenha acontecido. Exemplo: O incidente do TLD .de, em 5 de maio de 2026, tornou milhões de domínios inalcançáveis por cerca de três horas por erro do registro, não das hospedagens.
• Resolução de nomes: O serviço que traduz o endereço digitado no lugar da rede onde o produto vive. É o elo mais barato de contratar e o mais caro de perder, porque ele não tem substituto no momento da falha. Exemplo: Zona assinada por DNSSEC transfere risco para o operador do registro. O ganho de integridade é real e o custo é uma dependência a mais de um terceiro que você não escolhe.
• Rede de entrega: As cópias do produto espalhadas pelo mundo e a decisão de qual cópia responde a cada cliente. Move a linha de transferência de dados da fatura e é o elo que o marketing consegue estressar sozinho, com uma campanha. Exemplo: Cloudflare declarava, em 6 de maio de 2026, presença em 337 cidades e mais de 100 países. Material antigo que fala em mais de 300 data centers está descrevendo outra coisa.
• Build: A máquina alugada que transforma o texto do desenvolvedor no pacote servido ao cliente. Tem teto de tempo, fila de concorrência e linha própria de fatura, ainda que o time a trate como etapa gratuita. Exemplo: Na Vercel, o build é cobrado por CPU-minuto a partir de US$ 0,0035 e tem teto de 45 minutos por publicação, verificado em 24 de julho de 2026 em documentação com atualização de 24 de junho de 2026.
• Execução: Onde o código roda quando o cliente pede algo que não estava pronto. Define teto de duração, teto de memória e a linha da conta que o consumo alimenta. Exemplo: O teto de duração de uma execução, o que a documentação chama de timeout, é de 300 segundos em todos os planos da Vercel, inclusive o gratuito, conforme documentação de 1º de julho de 2026. Os 10 segundos que muita gente repete valem apenas para projetos anteriores a 23 de abril de 2025, data em que o novo modelo de execução da plataforma passou a ser padrão.
• Banco e armazenamento: Onde o dado do cliente mora entre uma visita e outra. É o único elo do caminho em que a falha não se resolve republicando a versão anterior. Exemplo: A Vercel declara, em documentação de 8 de julho de 2026, que faz backup a cada duas horas com retenção de 30 dias e que esses backups não estão disponíveis para os clientes.

Elo sem responsável interno nomeado é elo sem plano. O objetivo do mapa não é o desenho: é a coluna com nome de gente ao lado de cada linha, e a data em que essa coluna foi conferida pela última vez.

Evidência pública

Caso documentado: o registro do domínio derruba milhões de sites que estavam perfeitos

DENIC, registro do TLD .de, com mitigação da Cloudflare

Em 5 de maio de 2026, por volta das 19h30 UTC, a DENIC passou a publicar assinaturas DNSSEC inválidas durante uma rotação de chave programada. Resolvedores validadores, incluindo o 1.1.1.1, passaram a retornar SERVFAIL, e domínios .de ficaram inalcançáveis até a mitigação, às 22h17 UTC.

• A causa foi erro do registro do domínio, não das hospedagens contratadas pelos sites afetados.
• A especificação obriga o resolvedor validador a rejeitar resposta com assinatura inválida, então o comportamento correto do resolvedor foi justamente o que tornou os sites inalcançáveis.
• A mitigação consistiu em marcar a zona como insegura, apoiada também no mecanismo de servir resposta expirada, e levou cerca de três horas para ser aplicada.

Existe uma classe de indisponibilidade que nenhuma decisão de arquitetura sua evita e nenhum teste de código detecta. Para ela, o que reduz o dano é saber quem opera o elo, ter comunicação pronta e reconhecer o sintoma em minutos em vez de horas.

O caso é europeu e o mecanismo é global: qualquer registro de domínio pode errar uma rotação de chave, inclusive o do seu domínio.

Contratos assinados contra pontos de falha independentes

A coluna que importa é a última. Dois contratos com o mesmo provedor de nuvem por baixo produzem um ponto de falha, não dois. Dados verificados em 24 de julho de 2026.

Rotina real

O CTO desenha o mapa em quarenta minutos

CTO da Nortis, com a CEO na sala e o gerente de infraestrutura por chamada · Reunião de quarenta minutos marcada uma única vez, com o mapa revisado a cada trimestre e sempre que houver troca de fornecedor.

Situação: O comitê pediu o caminho do código até o cliente. O material interno existente descreve um fluxo linear de três etapas e não nomeia nenhum fornecedor fora do contrato principal.

Entradas: Lista de domínios da empresa, painel do fornecedor de publicação, contrato vigente, extrato do registrador e o organograma da área de tecnologia.

Processo: Cada um dos seis elos é escrito em uma linha. Ao lado, o fornecedor real, o responsável interno com suplente e a resposta a uma pergunta única: se isso cair agora, o que muda para o cliente nos primeiros trinta minutos. Passos que dependem de alguém clicar recebem marca visual.

Saída: Uma página com seis linhas preenchidas, três passos manuais destacados e duas linhas em vermelho, que são os elos sem responsável nomeado.

Verificação humana: Marina lê o mapa em voz alta na frente do time e pergunta, elo por elo, quem responde. Elo cujo dono precisa ser descoberto na hora entra na lista de pendências com prazo, não é preenchido de improviso na reunião.

Como se mede: Número de elos com responsável nomeado, sobre seis, e data da última revisão do mapa. A meta é seis de seis e revisão com menos de noventa dias.

Guardrail

O que invalida o mapa depois de pronto

Mapa de caminho envelhece por motivo alheio à empresa. O fornecedor muda de arquitetura, o registrador é comprado, a equipe troca e o passo manual migra de pessoa sem que ninguém atualize a página. Estas cinco verificações mantêm o documento vivo, e todas cabem em uma reunião trimestral de quinze minutos.

• Cada um dos seis elos tem nome de pessoa e de suplente, e nenhum dos dois está de saída da empresa.
• Está escrito qual elo pertence ao mesmo fornecedor de outro elo, para que ninguém chame de redundância aquilo que é o mesmo ponto de falha.
• Os passos manuais estão marcados, com o nome de quem clica e o que acontece quando essa pessoa está em férias.
• A data de renovação do registro do domínio está no mesmo calendário em que se anotam vencimentos financeiros, com aviso de sessenta dias.
• O mapa tem data de emissão e data da próxima revisão, porque fornecedor muda arquitetura sem consultar cliente e o mapa antigo continua parecendo correto.

Laboratório de decisão

Onde colocar o dono do registro do domínio

O mapa da Nortis mostrou dois elos sem responsável: o registro do domínio e o resolvedor de nomes. O registro foi contratado em 2019 por uma pessoa que já saiu, a renovação vence em quatro meses e a fatura cai num cartão que hoje pertence à área administrativa.

Quem passa a responder por esse elo, e com qual instrumento?

• A. Deixar com a área administrativa, que já paga a fatura, e tratar como despesa recorrente.: Resolve o pagamento e não resolve a operação. Quem paga não sabe reconhecer expiração de assinatura, mudança de servidor de nome ou pedido de transferência do domínio, que são exatamente as três formas de perder o nome da empresa.
• B. Transferir para a equipe de infraestrutura e encerrar o assunto na reunião.: Coloca o elo com quem sabe operá-lo e deixa o vencimento financeiro fora do radar de quem controla orçamento. É o arranjo que produz domínio expirado em feriado, com o time descobrindo pelo cliente.
• C. Nomear dono técnico e dono financeiro para o mesmo elo, com trava de renovação automática, aviso de sessenta dias no calendário do financeiro e bloqueio de transferência ativado no registrador.: Custa uma linha a mais no mapa e duas configurações. Cobre as duas formas distintas de perder o domínio, a operacional e a contratual, e deixa registro de quem responde por cada uma.

Recomendação: A terceira opção, com o bloqueio de transferência verificado no mesmo dia e a data de renovação lançada no calendário financeiro antes do fim da reunião.

Perder o domínio tem duas causas independentes e elas moram em áreas diferentes da empresa. A causa financeira é o não pagamento, que a equipe técnica não enxerga porque não recebe a fatura. A causa operacional é a mudança indevida de configuração ou um pedido de transferência aceito por engano, que o financeiro não reconhece porque a mensagem parece técnica. Escolher um único dono deixa metade do risco descoberta, e é a metade que ninguém está olhando. O custo de nomear dois donos é uma linha; o custo de errar esse elo é o produto inteiro fora do ar, com prazo de recuperação medido em dias e não em minutos.

Guia prático · Guia de marketing 1 · Prévia por pull request

Publique a landing page da campanha com prévia aprovada antes do ar

Caso de uso: Campanha de mídia paga · landing page de lançamento

No fim deste guia cada alteração da landing page gera um endereço de prévia próprio, protegido, que o time de marketing revisa e aprova antes de a versão ir para o domínio da campanha, e existe um caminho de volta em segundos se algo escapar.

Onde fica: Vercel: projeto > Settings > Git para a integração; Security > Deployment Protection para a proteção; Deployments para promover e reverter.

Critério de pronto e como medir

• Critério de pronto: um pull request de teste gerou prévia protegida, foi revisado por alguém de marketing e virou produção por mesclagem, sem publicação manual.
• Ensaio de reversão feito antes da estreia, com o tempo cronometrado e anotado no runbook da campanha.

Laboratório de campanha: validar a prévia sem contaminar os leads

A Nortis prepara uma campanha fictícia de diagnóstico logístico. Marketing aprovou o título, mas o formulário de prévia ainda pode enviar contatos ao CRM real. O exercício transforma a revisão visual em uma ficha verificável: ambiente separado, envio fictício e política de indexação. Use um projeto didático e um coletor de teste que aceite dados sintéticos; nenhuma mensagem deve chegar a uma pessoa real.

Aplicação prática revisada em 17/10/2026. A documentação de variáveis da Vercel, atualizada em 11/09/2026, confirma que alterações valem para novos deployments. Salvar uma variável não corrige uma prévia já construída.

Para um protótipo pequeno feito só de arquivos estáticos, o anúncio da Vercel de 17/09/2026 descreve um caminho de publicação sem build para até dez arquivos HTML ou Markdown, somando até 5 MB, com CLI 59.16.0 ou posterior. Isso ajuda a compartilhar uma proposta de campanha. Não comprova funcionamento de formulário, não substitui proteção da prévia e não promete esse tempo para um projeto Next.js.

Caso Nortis · Semana 1, depois do comitê

Marina pede ao CTO o desenho do caminho que uma correção percorre até chegar ao cliente. Ele volta com um diagrama de três caixas. Ao detalhar, aparecem seis pontos de quebra, e três deles pertencem a fornecedores que nunca passaram por contrato assinado.

A empresa acredita ter dois fornecedores de infraestrutura. O registro do domínio e o resolvedor de nomes, que derrubariam o produto inteiro, não têm dono nomeado.

Desenhar o caminho real do código até o cliente e nomear o responsável por cada ponto de quebra antes de discutir qualquer otimização.

Exemplo trabalhado

O diagrama de três caixas que virou seis pontos de quebra

CTO da Nortis, com Marina ao lado, na semana seguinte ao comitê

O desenho entregue tem três caixas: escreve, publica, cliente. É o mesmo desenho que o material técnico antigo da empresa usava, um fluxo linear de três etapas, sem nome de fornecedor fora do contrato principal.

Resultado: O comitê deixa de discutir se o fornecedor é bom e passa a discutir seis elos com dono. Dois deles não tinham responsável e um deles, o registro do domínio, estava com renovação vencendo em quatro meses sem ninguém olhando.

Continua sob responsabilidade humana: O mapa mostra onde a falha entra e nunca prova que ela não vai entrar. Ele também não substitui o teste: elo com dono nomeado e sem ensaio de reversão continua sendo elo sem plano. A data no rodapé do mapa existe para lembrar que fornecedor muda de arquitetura sem avisar cliente.

• Eu consigo nomear os seis pontos de quebra entre a correção do time e o cliente, sem consultar o slide.
• Eu sei dizer quais dos meus fornecedores repousam sobre a mesma infraestrutura e, portanto, não são plano B um do outro.
• Eu tenho o nome de quem responde por cada elo e sei quais passos ainda dependem de alguém clicar.

Com o caminho desenhado, aparece o obstáculo seguinte: metade das palavras do diagrama não é explicável em voz alta por quem aprova o orçamento.