Оцените риск операции до того, как её запустить

Три вопроса, которые решают всё остальное

1. Что именно исчезнет? Не «данные», а число строк, имён файлов, адресатов, коммитов.
2. Кто узнает об этом раньше меня? Если ответ «клиент», «маркетплейс», «налоговая» — риск уже не технический.
3. Чем я верну? Не «есть бэкап», а «вот файл, вот команда восстановления, вот доказательство, что она отработала».

Ответ «не знаю» на любой из трёх — не средний риск, а стоп до проверки. Вся работа здесь ради того, чтобы «не знаю» не превращалось молча в «наверное, да».

Часть 1. Каталог операций: что ломается на самом деле

1.1 Удаление данных: почему DELETE без транзакции хуже, чем кажется

DELETE FROM orders WHERE status = 'draft' выглядит адресным, но опасность не в DELETE, а в трёх вещах вокруг него.

status='draft' означал «черновик» три релиза назад, а сейчас туда пишет импорт из 1С, пока документ не проведён. Условие правильное, семантика — нет.

Автокоммит

DELETE также не отменяет прочитанное: если строка уехала в отчёт, в выгрузку, в почту клиенту, удаление в БД её оттуда не забирает.

Безопаснее почти всегда: пометить (deleted_at), перенести в архивную таблицу CREATE TABLE x_archive AS SELECT ... и удалить через неделю, когда никто не пришёл с вопросом. Цена отсрочки — дисковое место, цена её отсутствия — восстановление из бэкапа с даунтаймом.

1.2 Git: что вернёт reflog, а что не вернёт никогда

Разделяй по одному признаку: успел ли объект попасть в базу git.

Правило одной строкой: в git необратимо только то, что не коммитили. Отсюда подготовка — git add -A && git commit -m wip перед любой опасной операцией: секунда работы переводит её из «необратимо» в «reflog».

1.3 Схема БД: почему откат почти никогда не симметричен

Миграция «вверх» и «вниз» зеркальны в коде и не зеркальны в реальности, потому что схема хранит не только форму, но и содержимое.

Ловушка блокировок: ALTER TABLE берёт тяжёлый lock, на активной таблице встаёт в очередь, за которой копятся все запросы, — формально безопасная миграция кладёт сервис на пять минут. Смотри pg_stat_activity и держи lock_timeout, чтобы миграция отвалилась, а не заморозила прод.

Любое изменение схемы — только миграцией и только по явному запросу человека. UPDATE в консоли «по-быстрому» — уже нарушение процедуры и сам по себе повод остановиться.

1.4 Массовые операции во внешних системах: откат невозможен физически

Самый недооценённый класс. Технически обратимо — цену можно вернуть, письмо удалить из своей базы. Практически откат бессмыслен: получатель уже увидел.

Рассылки

Email, Telegram-бот, SMS, push. Точка невозврата — первое доставленное сообщение, а не конец пакета. Опечатка в имени переменной шаблона уходит к 8 000 адресатов за минуты. Порядок: себе → сегмент из 5–10 сотрудников → пауза → полный пакет. Между этапами нужна возможность остановить очередь, значит рассылка не запускается одним синхронным вызовом.

Цены на маркетплейсе

Ozon, Wildberries, Яндекс Маркет. Цена уезжает в карточку, покупатель успевает купить, и заказ по ошибочной цене вы обязаны исполнить: массовые отмены площадка штрафует и режет рейтинг. Ошибка в делителе (копейки вместо рублей) даёт скидку в 100 раз на весь ассортимент. Две проверки до отправки: распределение new/old с отсечкой аномалий и сверка с себестоимостью. Один SKU ниже закупки — стоп на всю пачку, а не пропуск строки. Лимиты площадки на размер пачки и частоту тоже важны: превышение даёт частично применённое изменение, худшее из состояний.

Документы контрагентам

Счета, акты, УПД через ЭДО, реализации из 1С/МойСклад. Подписанный и отправленный документ отзывается только аннулированием, на которое вторая сторона должна согласиться. Ошибочный счёт на 2,4 млн ₽ вместо 240 тыс. ₽ — это переписка, корректировочные документы и вопрос от бухгалтерии контрагента.

Права доступа

Роли в Битрикс24, доступы в облаке, RLS в Postgres, права на диск. Асимметрия обратная обычной: расширение необратимо по факту раскрытия, а сужение обратимо, но мгновенно ломает работу людей. Не снимай себе доступ последним действием — проверь, что остался второй путь входа.

Вывод по этому классу — не «риск средний», а граница пакета: сколько адресатов/SKU/документов в первой волне и по какому признаку останавливаемся.

1.5 Деньги и проводки

Откат существует, но он не отмена, а вторая проводка.

1.6 DNS и сертификаты: риск в задержке, а не в команде

Смена A/CNAME-записи выполняется за секунду и распространяется по TTL: резолверы держат старое значение до его истечения, часть провайдеров дольше заявленного.

• Снизить TTL заранее. За сутки до переезда поставь TTL 300 секунд, дождись истечения старого значения везде и только потом меняй запись. Иначе откат займёт столько же, сколько старый TTL, — часы.
• NS-записи и смена регистратора — уровень выше: делегирование распространяется дольше записей внутри зоны, откат тоже.
• Сертификат: не удаляй старый, пока новый не отдался клиентом, и проверяй цепочку целиком — типичный отказ выглядит как «в браузере работает, у мобильного клиента и curl нет», потому что не доехал промежуточный. Истёкший сертификат кладёт всё разом, включая вебхуки платёжной системы и маркетплейса, которые молча перестанут доходить.
• Отзыв сертификата необратим: перевыпуск — это новый сертификат и новая раскатка.

1.7 Ключи и секреты: удаление против ротации

Ротация двухфазна, и попытка сделать её одной фазой и есть авария. Порядок: выпустить новый → раскатить на потребителей → убедиться по логам, что старый не используется → отозвать старый. Между шагами оба ключа валидны.

Найди всех потребителей до начала: CI-переменные, воркеры, cron-джобы, мобильные клиенты, интеграции подрядчиков, сохранённые креды коннекторов. Забытый обнаружится на своём следующем запуске — ночной выгрузкой, которая молча не поехала.

Удаление без ротации

Необратимо, если ключ не хранится больше нигде: у большинства провайдеров секрет показывается один раз. Отзыв токена доступа к чужому кабинету (маркетплейс, банк, ЭДО) часто требует участия владельца кабинета — восстановление зависит от человека, которого может не быть на месте.

Часть 2. Метод оценки

2.1 Считай радиус тем же условием, что и операция

До выполнения преврати операцию в счётный запрос с тем же WHERE, дословно.

Правило: число из count(*) называется вслух до выполнения и сверяется с числом затронутых строк после. Расхождение — ROLLBACK.

Для файлов сухой прогон — ls/find с тем же шаблоном, что пойдёт в rm; для rsync — --dry-run; для git-очистки — git clean -nd; для внешних API — метод чтения с тем же фильтром, что у метода записи.

Кроме количества посчитай то, чего количество не показывает: распределение (не сидит ли 90% в одном клиенте), свежесть (max(created_at); есть вчерашнее — условие неверно), уникальность (нет ли строк, что нигде не дублируются).

2.2 Правило сухого прогона

Без встроенного --dry-run сухой прогон делается руками: тот же код, но точка записи заменена на печать того, что было бы записано, с сохранением в файл. Читаются не «всё ок», а первые и последние 20 строк плюс агрегаты. sandbox_bash и repl_execute для этого и нужны.

Если сухой прогон невозможен в принципе — это диагноз: операция не разбита на «решить» и «выполнить», и её надо переписать, а не выполнять.

2.3 Обратимая репетиция на копии

Репетиция засчитывается при трёх условиях: тот же код (не переписанный «примерно так же»), сопоставимый объём данных, те же ограничения и триггеры. На пустой таблице она не доказывает ничего — большинство отказов миграций происходит именно на данных.

2.4 Точка невозврата и как сделать операцию прерываемой

Точка невозврата — момент внутри операции, после которого остановка не спасает. Найди её и назови явно:

• рассылка — первая успешная доставка;
• DELETE в транзакции — COMMIT, всё до него отменяемо;
• миграция — первый DROP; всё до него — добавления, они безопасны;
• выгрузка цен — первый принятый площадкой пакет;
• ротация ключа — отзыв старого, но не выпуск нового.

Отсюда правило разбиения: сначала всё обратимое, необратимое — одним последним шагом. Миграция, которая добавляет колонку, потом переносит данные, потом отдельным релизом удаляет старую, останавливается в любой точке. Та же миграция «одним махом» — нигде.

Прерываемость требует трёх вещей: пачек (не один запрос на 300 тысяч строк, а сто по три тысячи), сохранённого прогресса (курсор в таблице, а не в памяти процесса) и явного условия остановки между пачками — доля ошибок выше порога, аномальное значение, флаг «стоп» от человека. Пачка размером во всю задачу не прерываема по определению.

2.5 Бэкап: существует ≠ восстанавливается

«Бэкап есть» — не факт, а предположение, пока не выполнено следующее.

Формулируй результат как «проверено восстановлением 2026-07-28, 12 таблиц, 1,4 млн строк, 38 минут», а не «бэкап настроен».

2.6 Шкала риска

Уровень назначается по худшему признаку, а не по среднему. Непроверенный бэкап переводит операцию в «критический» независимо от остального: это не риск потери, а неизвестность.

Часть 3. Вердикт

Пример различия двух ключевых полей: «ПРОВЕРЕНО: count(*) по тому же условию — 1 842 строки, max(created_at) = 2026-03-11, дамп восстановлен во временную БД, 12 таблиц сошлись. ПРЕДПОЛОЖЕНО: что на order_items нет каскада — по information_schema не смотрел». «ПРЕДПОЛОЖЕНО» пустым почти не бывает; пустое «ПРОВЕРЕНО» означает, что вердикта нет.