SLA del 99,9%: cosa vuol dire davvero, e cosa succede quando non lo rispettiamo

Quasi tutti i fornitori di hosting e CDN scrivono «99,9% di uptime» da qualche parte nel sito. Quasi nessuno scrive le due cose che contano: come lo misurano e cosa ti danno se non ci arrivano. Senza quelle due, il numero è una decorazione.

Quanti minuti sono, in pratica

La percentuale è poco intuitiva. Tradotta in tempo, su un mese da trenta giorni:

Il salto fra 99% e 99,9% è enorme: sette ore contro quaranta minuti. E il salto successivo, quello verso il 99,99%, costa molto più di quanto sembri, perché a quel punto anche un riavvio pianificato se ne mangia una fetta.

La domanda vera: giù per chi?

Qui si nasconde la parte scivolosa. «Il servizio è disponibile» può voler dire cose molto diverse:

• il server risponde al ping — il minimo sindacale, e non dice niente: un server può rispondere al ping mentre il sito dà errore;
• la macchina è accesa — riguarda il fornitore, non te;
• il tuo sito risponde a una richiesta vera — questo è l'unico che ti interessa.

C'è un terzo caso che quasi nessun contratto nomina: il server risponde, ma risponde «errore». È successo a noi, in piccolo, il giorno in cui abbiamo messo per iscritto il nostro SLA: due nodi nuovi, appena entrati in rete, non riuscivano a raggiungere l'origine di un sito e restituivano un 504. I nodi erano vivissimi, rispondevano a qualunque sonda in millisecondi — e intanto chi capitava su quei due nodi non vedeva la pagina. Una misura basata solo su «il nodo risponde?» avrebbe detto 100% di disponibilità, con i visitatori davanti a una pagina di errore.

Per questo nel nostro contratto un sito conta come non disponibile anche quando i nodi rispondono con un errore nostro — un 502 o un 504 che generiamo noi, non un errore che arriva dal server del cliente.

Chi misura, e perché non può essere solo il fornitore

Se il fornitore misura sé stesso, è giudice e parte. Non c'è modo di toglierlo del tutto, ma si può ridurre:

1. Più punti di vista. Nella nostra rete ogni nodo controlla gli altri sette ogni venti secondi, e un nodo risulta giù solo se la maggioranza non lo raggiunge. Così un problema di rete di chi guarda non diventa un guasto di chi è guardato.
2. Un dato che vedi anche tu. Se il numero sta solo nei nostri database è una tua questione di fiducia. Per questo la disponibilità di ogni sito sta nel pannello del cliente, con l'elenco dei guasti — ora d'inizio, durata, nodi coinvolti, causa — e lo stato della rete è su una pagina pubblica che chiunque può aprire.
3. La tua misura vale. Se un controllo esterno tuo — UptimeRobot, Pingdom, quello che usi — dice una cosa diversa dalla nostra, la guardiamo insieme. Un fornitore che si rifiuta di guardare la tua misura ti sta dicendo qualcosa.

Un dettaglio che sembra una finezza ma non lo è: da quando misuri. Una pagina di stato che mostra novanta giorni tutti verdi quando il monitoraggio è attivo da due settimane non sta raccontando novanta giorni di servizio perfetto, sta raccontando settantasei giorni di niente.

Le penali: l'unica parte che costa qualcosa a chi scrive il contratto

Promettere il 99,9% non costa niente. Quello che costa è quello che succede quando non ci arrivi. Le penali serie hanno quattro caratteristiche:

• sono a scaglioni, non tutto o niente: più sei stato giù, più ti spetta;
• si chiedono senza dover dimostrare un danno: basta il dato;
• hanno una scadenza ragionevole per chiederle, non tre giorni;
• se il disservizio si ripete per mesi, puoi andartene subito, senza penali di uscita.

Nel nostro caso: sotto il 99,9% si accredita il 10% del canone del mese, sotto il 99,5% il 25%, sotto il 99% il 50%, sotto il 95% l'intero canone; si chiedono entro trenta giorni, e tre mesi di fila sotto il 99% danno diritto a disdire subito con il mese in corso rimborsato. Le condizioni per intero stanno nei termini di servizio.

Vale la pena dire anche cosa non conta, perché un contratto onesto lo scrive: la manutenzione annunciata con almeno 48 ore di anticipo (da noi, non più di due ore al mese), i periodi in cui è il tuo server a non rispondere, e la forza maggiore. Gli attacchi, invece, contano: se il sito non si raggiunge perché è sotto attacco, per noi è un disservizio come gli altri. È il motivo per cui esiste una CDN.

Le tre domande da fare prima di firmare

Se stai valutando un fornitore — noi o chiunque altro — queste tre domande dicono quasi tutto:

1. Come misurate la disponibilità, e da dove? Se la risposta è «abbiamo un monitoraggio interno», chiedi di vederlo.
2. Cosa mi date se non rispettate il livello? Se la risposta è «ne parliamo», la risposta è niente.
3. Un nodo che risponde con un errore conta come disservizio? È la domanda che smaschera le misure fatte col ping.

E se il tuo sito è irraggiungibile adesso, l'SLA è l'ultimo dei tuoi problemi: comincia da cosa fare mentre sei sotto attacco.