Publicar o código hoje e liberar para o cliente depois

Publicar é colocar a versão nova no servidor. Liberar é deixar o cliente ver o recurso novo. Quando as duas coisas acontecem no mesmo instante, toda decisão de negócio vira janela de publicação.

Mudança de risco deve subir desligada, atrás de um interruptor que o negócio aciona quando decide, não no instante em que o código termina de compilar. Essa exigência separa arquitetura madura de arquitetura arriscada.

O interruptor tem nome técnico, feature flag, e é um valor de configuração que liga ou desliga um trecho de código sem publicação nova.

Rollback é a volta à versão anterior, e o tempo que ela leva define a gravidade de um erro. Refazer a construção da versão leva minutos; desligar o interruptor leva segundos.

O tamanho do estrago possível é o que decide o cuidado. Cor de botão e texto de página aceitam liberação direta; cálculo de preço, cobrança e entrada no sistema não aceitam.

Duas estratégias completam o repertório. Azul-verde mantém duas versões inteiras no ar e aponta o tráfego para uma delas, o que torna a volta um simples reapontamento. Canário libera para uma fatia pequena de clientes e compara os números das duas versões antes de seguir.

A escolha segue a natureza do risco. Risco de infraestrutura, como versão de runtime ou dependência nova, é binário: subiu ou não subiu, e uma chave resolve. Risco de lógica de negócio, como um cálculo de taxa, é estatístico: não aparece na primeira requisição, aparece na distribuição dos valores, e por isso pede comparação lado a lado.

Sem a métrica de negócio instrumentada antes da publicação, a comparação não serve. Antes das duas estratégias, existe um critério que pesa mais: a reversibilidade do efeito. Cobrança processada, mensagem enviada e integração acionada não voltam com rollback. Para esses, o controle precisa vir antes da ação, com o interruptor desligado por padrão até alguém decidir ligá-lo.

A próxima aprovação de arquitetura cabe numa exigência única: peça ao time a demonstração de como aquela mudança volta ao estado anterior em um minuto, sem perder dado. Resposta que exige reconstrução ou reunião de emergência significa que o plano de contingência é a agenda das pessoas.

Cada interruptor esquecido vira dívida técnica: dobra os caminhos possíveis do código, e um produto com quarenta interruptores antigos fica impossível de testar. Todo interruptor nasce com dono e data de remoção prevista.

Antes de aprovar o cronograma da próxima mudança de risco, liste as três alterações mais arriscadas do trimestre, as que tocam dinheiro, acesso e dado de cliente. Peça o interruptor de cada uma com dono e sinal de desligamento combinado por escrito.