Como você libera uma mudança arriscada de backend com segurança?

Desacople deploy de release com uma feature flag, depois faça a rampa: usuários internos, uma pequena porcentagem, depois mais amplo, observando taxa de erro e latência contra o grupo de controle a cada passo. Mantenha o caminho antigo intacto para que o rollback seja virar uma flag em vez de refazer deploy, torne a mudança retrocompatível na camada de dados, e defina critérios explícitos de antemão para o que te faz parar. Remova a flag quando a liberação estiver concluída.

A ideia central é que subir e liberar são eventos diferentes. O código vai para produção desligado atrás de uma flag, então o deploy em si é sem graça, e depois eu ligo para contas internas primeiro, depois um por cento, depois dez, depois o resto, pausando em cada passo tempo suficiente para as métricas significarem algo. O que eu observo é taxa de erro, latência e a métrica de negócio que a mudança toca, comparadas com os usuários que seguem no caminho antigo, já que um gráfico global pode esconder uma regressão que afeta só o grupo tratado. Qualquer mudança de schema segue expandir e contrair, para que os dois caminhos de código funcionem contra as mesmas tabelas em todos os momentos e eu consiga voltar instantaneamente, que é o ponto inteiro: rollback deveria ser uma mudança de flag, não um redeploy sob pressão. Eu escrevo antes o que me faria parar, porque às duas da manhã ninguém toma bem essa decisão. E a flag tem um dono e um chamado de remoção, já que uma base de código com dezenas de flags esquecidas fica impossível de raciocinar.