Reverter sem depender do painel que também caiu

Sair com três caminhos de reversão ordenados por dependência, cada um com data do último ensaio e tempo alvo declarado.

• Separar queda do tráfego servido de queda do plano de controle do fornecedor.
• Ordenar os caminhos de reversão por dependência, não por preferência do time.
• Definir o critério objetivo de encerramento do incidente antes que ele aconteça.

Em linguagem simples

Publicar é trocar a versão que o cliente recebe. Reverter é devolver a versão anterior. Nas plataformas modernas, reverter costuma ser barato porque a versão antiga continua armazenada e a operação é apenas mudar para onde o tráfego aponta. Barato não significa disponível: a operação depende de algum sistema do fornecedor aceitar o seu comando, e esse sistema é diferente do que serve o site ao cliente.

Existem duas camadas com nomes parecidos e destinos independentes. O plano de dados entrega páginas a quem acessa. O plano de controle é o painel, o login, a integração de identidade corporativa e a interface de linha de comando, ou seja, tudo que o seu time usa para mandar na plataforma. Boa parte dos incidentes graves observados entre 27 de maio e 23 de julho de 2026 atingiu o plano de controle: o site continuava no ar e o time não conseguia operar. Um plano de reversão que só existe dentro do painel é a mesma aposta feita duas vezes.

1. 01A versão anterior não é reconstruída, ela é reapontada. Reverter não dispara build novo. Muda-se o destino do tráfego para uma versão já montada e armazenada. É por isso que a operação leva segundos quando o caminho está disponível.
2. 02Cada caminho depende de um sistema diferente. Painel depende do login e da interface web. Linha de comando depende da API e de uma credencial já em posse do time. Publicar do repositório depende do provedor de código e do build. Página de contingência depende só do domínio.
3. 03Nem toda queda vem do fornecedor contratado. Registro do domínio, resolvedor de nomes e operador do TLD derrubam o produto sem que a hospedagem tenha falha alguma. Não há contrato seu com eles e não há botão seu para acionar.
4. 04Ensaio é o que separa caminho de intenção. Caminho de reversão sem data do último teste é uma frase de apresentação. O ensaio mede o tempo real, encontra a credencial vencida e revela quem não tem acesso.

Confusão mais comum: Confundir página de status verde com produto saudável. A página de status do fornecedor descreve o serviço dele, não a sua aplicação, e costuma ser atualizada depois que o seu cliente já ligou. A verificação que vale é a sua, feita de fora, contra a sua própria rota de saúde.

Explique em voz alta: Explique, para alguém de fora da tecnologia, a diferença entre o site estar fora do ar e o time não conseguir mexer no site, e diga qual dos dois aconteceu no seu último incidente.

O site continua no ar e ninguém consegue mexer nele

A imagem que a maioria dos comitês tem de uma queda é a do site fora do ar. Os registros públicos apontam outra coisa. A API oficial de status da Vercel, consultada em 24 de julho de 2026, registra 25 incidentes públicos entre 27 de maio e 23 de julho de 2026. Um foi classificado como crítico, e ele foi erro de autenticação no painel, em 23 de julho de 2026. Entre os seis classificados como graves estão latência e erros elevados na região de Frankfurt em 14 de junho de 2026, falhas intermitentes de login em 26 de junho e erros de autenticação corporativa em 16 de julho.

O padrão importa mais que a contagem. Boa parte dos incidentes graves atinge o plano de controle: painel, login e integração de identidade. O cliente continua navegando, a receita continua entrando, e o seu time perde exatamente a ferramenta que o procedimento interno manda usar quando algo dá errado. É a pior combinação possível, porque parece calmaria por fora e paralisia por dentro.

O material antigo da Nortis ensinava um caminho único de reversão: abrir a lista de publicações no painel e promover a anterior. Aquele caminho é bom, é rápido e é o primeiro a ser tentado. Ele apenas não pode ser o único, porque a tela que ele exige é a mesma que caiu no único incidente crítico do trimestre.

Quatro caminhos de reversão, e de que cada um depende

A ordem de acionamento vem da dependência, não da familiaridade do time. O cartão de incidente da empresa precisa ter pelo menos três destes caminhos testados, com a data do último ensaio ao lado de cada um.

Evidência pública

Caso documentado: milhões de domínios inalcançáveis sem falha de nenhuma hospedagem

DENIC, registro do domínio .de, com mitigação da Cloudflare

Em 5 de maio de 2026, por volta das 19h30 UTC, o operador do registro do TLD alemão passou a publicar assinaturas DNSSEC inválidas durante uma rotação de chave programada. Resolvedores que validam assinatura são obrigados pela especificação a rejeitar a resposta, e passaram a devolver erro. Milhões de domínios ficaram inalcançáveis por cerca de três horas. A mitigação da Cloudflare saiu às 22h17 UTC, marcando a zona como insegura e apoiando-se no mecanismo que serve resposta antiga enquanto a nova não pode ser validada.

• O ponto de falha foi o registro do domínio, um fornecedor que quase nenhum conselho tem mapeado e com o qual a empresa afetada não tem contrato direto.
• Nenhuma aplicação hospedada teve defeito, nenhuma equipe de produto errou e nenhum painel de fornecedor de hospedagem mostrava anomalia.
• A janela de indisponibilidade foi de cerca de três horas, decidida pelo tempo de reação de terceiros, não pelo tempo de reação do time afetado.

O inventário de dependências externas precisa incluir o que a empresa não contratou: registro do domínio, resolvedor de nomes, autoridade certificadora e provedor de identidade. Para essas dependências não existe reversão, existe apenas comunicação preparada e página de contingência.

O mesmo blog registra a retirada de rotas BGP de clientes com IP próprio em 20 de fevereiro de 2026, com 6 horas e 7 minutos de duração, e o compromisso público de 19 de dezembro de 2025 de colocar todos os sistemas de produção sob publicação mediada por saúde até o fim do primeiro trimestre de 2026.

Modelo operacional

Os primeiros quarenta minutos, em seis movimentos

A sequência existe para que ninguém precise decidir a ordem às três da manhã. Cada movimento tem um dono nomeado no cartão de incidente, e nenhum deles depende de improvisação.

• Minuto 0 a 2, classificar: Duas perguntas objetivas: o cliente consegue usar o produto e nós conseguimos operar a plataforma. As respostas escolhem o caminho e evitam quinze minutos gastos tentando de novo a tela que já falhou. Exemplo: Cliente com erro em uma rota específica e painel do fornecedor sem autenticar: caminho do painel descartado, segundo caminho acionado imediatamente.
• Minuto 2 a 5, congelar: Nenhuma publicação nova entra durante o incidente, inclusive correção com boa intenção. Publicar por cima de um estado desconhecido transforma um problema em dois. Exemplo: O ramo que publica é bloqueado por quem tem a permissão, e o bloqueio é anunciado no canal do incidente com hora.
• Minuto 5 a 20, reverter: Executar o caminho disponível de maior nível na ordem estabelecida, medindo o tempo. Reverter primeiro, entender depois: a investigação com o produto no ar é melhor que a investigação com o cliente parado. Exemplo: Reversão por linha de comando, confirmada pela rota de saúde da própria empresa e pelo identificador da versão servida.
• Minuto 5 a 20, comunicar em paralelo: Quem fala com o cliente não é quem está com as mãos no teclado. O texto já está aprovado pelo jurídico, com lacunas para hora, escopo e previsão, e sai mesmo que ainda não haja causa conhecida. Exemplo: Área de sucesso do cliente envia o texto preliminar, sem atribuir causa e sem prometer prazo de correção definitivo.
• Minuto 20 a 40, verificar por medição própria: A confirmação vem de fora da plataforma, contra a rota de saúde da empresa, não da página de status do fornecedor, que costuma reconhecer o incidente depois do seu cliente. Exemplo: Três verificações consecutivas com resposta correta, espaçadas em um minuto, antes de declarar restabelecimento.
• Antes de encerrar, avaliar dever de notificar: Se houver indício de acesso indevido a dado pessoal, o relógio regulatório já começou a contar. Isso é decisão de quem responde por privacidade, tomada durante o incidente e não na segunda-feira. Exemplo: Pergunta escrita no cartão: houve indício de comprometimento de dado pessoal, sim ou não, com hora do primeiro indício registrada.

O critério de encerramento precisa ser objetivo e combinado antes: qual métrica, medida por quem, por quanto tempo estável. Incidente encerrado por sensação volta a abrir na reunião seguinte.

Guardrail

O que invalida um plano de reversão antes do incidente

Todo item desta lista já foi observado em empresa com time competente e ferramenta cara. Nenhum deles aparece em auditoria de arquitetura, porque todos são de operação. A verificação custa uma tarde por trimestre e a ausência dela custa a madrugada inteira.

• Nenhum caminho de reversão depende exclusivamente de tela que exige login no fornecedor.
• O token usado na reversão existe hoje, não expirou e alguém consegue provar isso sem publicar em produção.
• A versão do utilitário de linha de comando está fixada no cartão e no ambiente, e é a mesma que foi usada no último ensaio.
• Existe registro escrito do identificador da última publicação conhecida como boa, atualizado a cada publicação de produção.
• O cartão de incidente vive fora da plataforma que pode cair, em cópia acessível por celular, e alguém sabe onde ele está às três da manhã.
• O texto de comunicação com o cliente já passou pelo jurídico, com lacunas para hora, escopo e previsão, e não atribui causa.
• O critério de encerramento está escrito: qual métrica, medida por quem, estável por quanto tempo.
• O inventário de dependências externas inclui registro do domínio, resolvedor de nomes, autoridade certificadora e provedor de identidade, com o que fazer quando cada um falha.

Laboratório de decisão

03h10, o painel não autentica

A emissão de comprovantes da Nortis quebrou depois da publicação de sexta à noite. O produto está no ar, a rota de comprovantes devolve erro, e o painel do fornecedor não aceita o login de nenhuma das três pessoas com acesso. O CTO está no telefone com a CEO.

Qual é o primeiro movimento, com o relógio correndo e a informação incompleta?

• A. Insistir no painel, tentando outro navegador, outra rede e a conta de outra pessoa, até conseguir entrar.: Consome de quinze a quarenta minutos no caminho que já falhou, com a sensação de progresso porque cada tentativa é rápida. É a opção escolhida por padrão quando existe um caminho único no procedimento, e foi exatamente ela que o material antigo da empresa ensinava.
• B. Publicar uma correção rápida do defeito, aproveitando que a esteira de publicação continua funcionando.: Publica código não revisado, de madrugada, por cima de um estado que ninguém terminou de diagnosticar. Se a correção estiver errada, o produto passa a ter dois problemas e nenhuma versão conhecida como boa recente.
• C. Descartar o painel em dois minutos, executar a reversão por linha de comando com o token do cofre e disparar a comunicação preliminar em paralelo.: Devolve a versão anterior em minutos, sem depender da tela que caiu, e coloca o cliente informado antes que ele descubra sozinho. Exige que o token, a versão fixada do utilitário e o texto aprovado já existissem antes das três da manhã.

Recomendação: A terceira opção, com o congelamento de publicações anunciado no mesmo minuto e a verificação feita pela rota de saúde da própria Nortis.

As três opções são razoáveis para quem está cansado, e é por isso que a escolha precisa estar feita antes. A primeira aposta que o incidente do fornecedor vai passar dentro da janela em que o seu cliente tolera, o que é uma aposta sobre o relógio de outra empresa. A segunda troca um defeito conhecido por um risco desconhecido, na pior hora do dia para revisar código. A terceira só está disponível para quem pagou antecipadamente o preço de provisionar credencial, fixar versão, aprovar texto e ensaiar com cronômetro. O trabalho do comitê é fazer com que só exista uma escolha razoável quando a hora chegar.

Laboratório de reversão: comprovar qual oferta está no domínio

No projeto didático da Nortis, a oferta anterior exibe "Diagnóstico logístico inicial" e a candidata exibe "Diagnóstico logístico da campanha de outubro". Essas frases são sentinelas: permitem reconhecer a versão entregue ao visitante. O exercício termina com evidência do domínio, do formulário e do retorno ensaiado. Faça a simulação com um domínio de laboratório, sem mídia comprada e sem leads reais.

A mudança de retenção do Hobby, publicada pela Vercel em 16/09/2026, limita as publicações preservadas. Por isso, selecione uma produção anterior ainda disponível antes do ensaio; um SHA no GitHub não garante que exista um deployment para reversão. A aplicação a seguir é um roteiro de aceite de campanha, revisado em 17/10/2026, e não o anúncio de uma nova função de rollback.

Caso Nortis · Semana 11, sábado, 03h10

O produto para. O time tenta reverter pelo painel do fornecedor e o painel não autentica. O registro público de incidentes mostra falha no plano de controle, não no tráfego servido, o mesmo padrão do incidente crítico de 23 de julho de 2026.

O caminho de reversão que o material interno ensinava dependia inteiramente da tela que está fora do ar. E nem toda queda vem do fornecedor contratado: em 5 de maio de 2026 uma rotação de chave malfeita no registro de um domínio nacional tirou milhões de sites do ar por cerca de três horas, sem falha de quem hospedava.

Produzir o cartão de incidente com três caminhos de reversão já testados e datados, ordem de acionamento, quem fala com o cliente, texto pré-aprovado pelo jurídico e critério objetivo de encerramento.

Exemplo trabalhado

A madrugada em que o painel não autenticou

CTO da Nortis, sábado, 03h10, com a CEO no telefone

Uma publicação de sexta à noite quebrou a emissão de comprovantes para as transportadoras. O procedimento interno, herdado do material de treinamento antigo, tinha um passo só: abrir o painel do fornecedor, ir até a lista de publicações e promover a anterior. O login do painel devolve erro.

Resultado: A emissão volta em dezenove minutos, contra o tempo alvo de trinta declarado no cartão. A comunicação sai antes da primeira ligação de transportadora. A reunião de segunda-feira discute a causa da quebra, e não a competência do time.

Continua sob responsabilidade humana: Reverter devolveu o serviço e não explicou nada. A versão anterior pode carregar o mesmo defeito em estado latente, e a correção do dado gerado errado durante as horas de quebra é trabalho humano posterior. Reversão bem executada compra tempo para investigar sem pressa, e é só isso que ela faz.

• Eu sei dizer qual dos nossos caminhos de reversão sobrevive a uma queda do painel do fornecedor, e quando ele foi testado pela última vez.
• Eu consigo distinguir, em dois minutos de incidente, queda do produto de queda do plano de controle.
• Eu tenho nomeado quem fala com o cliente durante o incidente, com o texto já aprovado pelo jurídico.

Restabelecido o serviço, começa a contar um relógio que ninguém na sala tinha percebido que existia.