Um bug grave chegou em produção. A sua suíte passou. O que você faz?

Trate em duas fases. Imediatamente: reproduza, avalie impacto e alcance, apoie a mitigação (rollback ou desligar a flag) e comunique. Depois: descubra por que o teste não pegou, se foi um caso faltando, uma diferença entre ambientes ou uma integração não testada, e então adicione um teste de regressão na camada útil mais baixa e corrija a classe da falha, não só a instância.

A primeira fase é contenção e eu ainda não estou analisando nada. Reproduzir, fixar as condições exatas e quantificar: quantos usuários, quais caminhos, tem dado sendo corrompido ou só exibido errado, porque isso muda a urgência completamente. Depois apoiar a mitigação segura mais rápida, normalmente desligar a flag ou fazer rollback, e garantir que quem fala com os clientes saiba o que dizer. A análise vem depois que para de doer. A pergunta que eu faço não é quem deixou passar, é que propriedade do nosso processo permitiu isso. Normalmente é uma de poucas coisas: ninguém pensou no caso, que é uma lacuna de design de teste; o caso existia mas o ambiente era diferente, que é uma lacuna de dados ou de configuração; ou ele morava numa integração sem dono. O último que eu peguei foi um bug de arredondamento de moeda que só aparecia para um locale ausente dos nossos dados de teste, então a correção real não foi um caso de teste, foi acrescentar cobertura de locale à estratégia de dados. Depois eu adiciono um teste de regressão na camada mais baixa que teria pegado, e eu checo se a mesma classe de lacuna existe em outro lugar.