Tentar de novo sem cobrar o cliente duas vezes

Aprovar a política de nova tentativa antes de o fluxo entrar no ar decide se uma falha de rede vira reembolso duplicado depois. Nova tentativa automática é o que o sistema faz quando uma chamada falha por motivo passageiro.

Erro de rede acontece todo dia, em toda integração. A pergunta que decide o custo é o que o sistema faz depois da falha, porque é ali que o dinheiro se perde ou se duplica.

Um tempo esgotado significa ausência de resposta dentro do prazo. A cobrança pode ter ocorrido; confira sua situação antes de criar uma nova operação.

Três políticas cabem na mesma frase, e a distância entre elas custa dinheiro. Sem nova tentativa, a falha precisa de encaminhamento e comunicação ao cliente.

Com nova tentativa na hora, cinco chamadas caem em menos de um segundo sobre o serviço que já estava em falha. É o jeito mais eficiente de derrubar de vez o que ia se recuperar sozinho.

Na espera crescente, chamada backoff, o intervalo cresce até um teto definido. A regra deve respeitar os limites e as instruções do fornecedor. O sorteio de milissegundos na espera, chamado jitter, evita que todos os clientes que falharam juntos voltem juntos na tentativa seguinte.

Sem o jitter, o serviço em recuperação recebe ondas sincronizadas em vez de carga espalhada, e cai de novo a cada rodada. Depois do teto de tentativas, a mensagem precisa de destino. A fila morta, ou DLQ, é o depósito onde ela fica com número, valor e motivo, para alguém olhar antes de o caso virar prejuízo.

Nenhuma dessas três políticas evita a cobrança repetida. Para uma gravação interna, registre o identificador único junto do efeito na mesma transação. Para uma cobrança externa, envie a mesma chave ao fornecedor, confira sua janela de validade e reconcilie resultados incertos. Uma chave criada apenas no seu banco não impede duplicação no parceiro.

A escolha fica mais clara quando você a vê rodar. No painel abaixo, trocar a política muda a linha do tempo das tentativas, o que o cliente enxerga e a resposta sobre a cobrança repetida.

Entrega única garantida de ponta a ponta não existe sobre rede que falha. O que existe é processamento efetivamente único, obtido com a chave de idempotência dentro do consumidor.

Trocar de fila por uma com exactly-once move o problema sem resolver. Se o processo cai depois de gravar a cobrança e antes de confirmar o recebimento, a fila reentrega o mesmo evento, e nenhuma garantia do lado dela cobre essa janela.

Todo fluxo que movimenta dinheiro precisa responder, antes de entrar no ar, o que acontece se a mesma mensagem chegar três vezes. Peça evidência do destino das falhas e do responsável, em painel ou relatório de teste.

Antes de aprovar o fluxo, peça a política de nova tentativa por escrito, com falhas elegíveis, teto, espera crescente e destino após o teto. Confira o número de itens na fila morta de ontem e o nome de quem responde por eles esta semana.

Exija a mesma chave de idempotência em todo fluxo com dinheiro, com validade e consulta de resultado incerto no fornecedor.