Wie rollst du eine riskante Backend-Änderung sicher aus?

Entkoppel Deploy vom Release über ein Feature Flag und ramp dann hoch: interne Nutzer, ein kleiner Prozentsatz, dann breiter, und beobachte bei jedem Schritt Fehlerrate und Latenz gegen die Kontrollgruppe. Lass den alten Pfad intakt, damit Rollback das Umlegen eines Flags ist statt eines Redeploys, mach die Änderung auf Datenebene rückwärtskompatibel, und leg vorab explizite Kriterien fest, wann du abbrichst. Entfern das Flag, sobald der Rollout durch ist.

Der Kerngedanke ist, dass Deployen und Releasen zwei verschiedene Ereignisse sind. Der Code geht dunkel hinter einem Flag raus, der Deploy selbst ist also langweilig, dann schalte ich ihn zuerst für interne Accounts an, dann ein Prozent, dann zehn, dann den Rest, und halte bei jedem Schritt lange genug an, dass die Metriken etwas bedeuten. Ich beobachte Fehlerrate, Latenz und die Geschäftsmetrik, die die Änderung berührt, verglichen mit den Nutzern, die noch auf dem alten Pfad sind, denn ein globaler Graph kann eine Regression verstecken, die nur die behandelte Gruppe trifft. Jede Schemaänderung folgt Expand and Contract, sodass beide Codepfade jederzeit gegen dieselben Tabellen funktionieren und ich sofort zurückschalten kann, und genau darum geht es: Rollback soll eine Flag-Änderung sein und kein Redeploy unter Druck. Ich schreibe vorher auf, was mich stoppen würde, denn um zwei Uhr nachts trifft niemand diese Entscheidung gut. Und das Flag hat einen Owner und ein Ticket zum Entfernen, denn eine Codebasis mit Dutzenden veralteter Flags lässt sich nicht mehr durchschauen.