Alertes et astreinte

Les canaux

Push (application iOS native et Apple Watch) et e-mail sont disponibles dans toutes les formules. Les SMS personnels commencent avec Pulse, sont opt-in par personne, utilisent un numéro vérifié et ne demandent aucun planning d’astreinte. Les plannings commencent avec Sentinel ; leur escalade peut passer du push au SMS puis à l’appel, toujours vers des numéros vérifiés. Le tableau complet des canaux est sur alertes et intégrations.

Les SMS personnels et d’astreinte ainsi que les appels effectivement envoyés partagent les quotas mensuel et glissant sur 24 heures.

L’affichage en direct

Un incident ouvert pose un affichage vivant sur le téléphone qu’il a réveillé : sur l’écran verrouillé, dans la Dynamic Island, sur une Apple Watch dans le Smart Stack et sur le tableau de bord CarPlay. Posez le téléphone à plat sur son chargeur et l’affichage remplit l’écran, lisible d’un bout à l’autre de la pièce.

Il suit la situation et non l’instant où il est apparu : combien d’incidents sont ouverts, la gravité du pire d’entre eux, quel service et depuis combien de temps. Dès que quelqu’un prend un cas en charge, l’affichage cesse de le proposer sur tous les autres téléphones.

Avec exactement un incident ouvert, il porte Acquitter, et le cas se prend directement depuis l’écran verrouillé, sans déverrouiller. Avec plusieurs incidents ouverts, il n’y a pas de bouton, délibérément : rien ne dirait lequel vous visez. Il n’y en a pas non plus sur la montre ni dans CarPlay, où un bouton dans un affichage vivant ne peut déclencher aucune action, et un bouton qui ne fait rien est le pire exactement là où quelqu’un compte dessus.

Apple met fin à un tel affichage quelques heures après son début, quoi que nous fassions. Rien dans l’escalade n’en dépend : l’affichage est la vue silencieuse à côté de l’alarme, jamais son remplacement.

Acquitter à la voix

Qui est réveillé en pleine nuit a les écouteurs dans les oreilles et le téléphone quelque part dans la pièce. L’acquittement est le seul geste qui compte à cette minute-là, puisqu’il arrête la chaîne avant qu’elle ne réveille le collègue suivant. Il ne devrait pas dépendre du fait de retrouver un appareil et de le déverrouiller.

Dites « Acknowledge the incident in Perstat ». Si un seul cas est ouvert, il est pris en charge sans question. Si plusieurs le sont, Siri demande lequel et propose les noms des services : prendre le mauvais cas est pire qu’une question, car cela laisse le bon sans surveillance. Si rien n’est ouvert, Siri le dit également.

Le résultat est annoncé, l’échec aussi. Qui dit « acquitter » la nuit, entend « pris en charge » et se retourne s’appuie sur ce mot. L’annonce suit la langue de l’application, en français donc, même si la phrase a été dite en anglais.

Cela fonctionne sans déverrouiller, délibérément : c’est précisément ce dont l’acquittement ne doit pas dépendre. Quiconque a un accès physique à un téléphone d’astreinte peut ainsi arrêter une escalade en cours. Si votre politique l’exclut, désactivez Siri sur l’appareil verrouillé (Réglages → Face ID et code → Siri quand l’appareil est verrouillé).

Les phrases intégrées existent en anglais et en allemand. Dans l’app Raccourcis, donnez à l’action votre propre formule en français : c’est là que cela se règle.

La chaîne d’escalade

Un incident alerte d’abord la personne d’astreinte par push ; sans acquittement, la chaîne passe au SMS, puis à l’appel téléphonique, avec des délais d’étape réglés par planning d’astreinte. Les appels sont plafonnés à 2 par incident : une escalade doit réveiller un humain, pas vider une batterie.

La chaîne, c’est vous qui la définissez, sous Astreinte, section Chaîne d’escalade. Chaque étape a un moment (immédiatement ou après X minutes), ses destinataires et ses canaux. On ajoute et on retire des étapes ; qui ne change rien garde la chaîne que les deux nombres décrivaient auparavant.

Une étape atteint plusieurs destinataires en même temps. « Après 15 minutes les propriétaires et le chef d’équipe et le canal Slack » est une étape à trois cibles, pas trois étapes. Une cible est la personne d’astreinte, une personne précise, un rôle, les propriétaires et administrateurs, ou un point d’arrivée : n’importe quel connecteur configuré sous Intégrations (Slack, Microsoft Teams, Discord, Google Chat, PagerDuty, Opsgenie ou un webhook signé à vous).

Les canaux se règlent par destinataire. Une étape nomme les canaux par lesquels ses personnes sont jointes, et c’est le réglage dont presque toutes les chaînes se contentent. Si un destinataire doit être joint autrement, la carte de l’étape porte à côté de lui une petite commande comme l’étape : une fois changée, ce destinataire-là est alerté par la voie choisie, tandis que les autres du même échelon gardent le réglage de l’étape. « À la minute 15, appeler la personne d’astreinte et n’envoyer qu’une notification au second niveau » tient donc en une étape, et non en trois étapes à trois minutes artificielles. Un point d’arrivée n’a qu’un seul chemin et ignore complètement les canaux, ceux de l’étape comme les siens.

La grille au-dessus des étapes montre les canaux qui partent réellement, et non la valeur par défaut de l’étape : si tous les destinataires d’un échelon la remplacent, l’échelon montre ce que ces destinataires reçoivent.

Comme une étape porte déjà plusieurs destinataires, deux étapes ne peuvent pas occuper la même minute. L’enregistrement est refusé, et à juste titre : une seule des deux serait partie.

Au-dessus des étapes, la chaîne est dessinée comme une grille : le déclencheur en haut, les étapes en dessous dans l’ordre du temps, et à côté de chaque étape son éventail de destinataires. Elle montre d’un coup d’œil ce qu’une liste ne montre pas : combien de personnes une seule étape réveille. On modifie dans les cartes en dessous ; la grille est la carte, pas l’atelier.

Un point d’arrivée désactivé ou dont la dernière remise a échoué est signalé directement à l’étape, avec le motif. Un barreau de chaîne qui n’atteint silencieusement personne mérite plus d’attention qu’un affichage propre.

Un point d’arrivée qu’une étape a alerté reçoit aussi la levée d’alerte, même s’il n’est pas abonné à cet événement sous Intégrations. Cela compte surtout avec PagerDuty et Opsgenie : placer un point d’arrivée dans une étape y ouvre une alerte, et une alerte jamais fermée continue de sonner une fois l’incident terminé. Ce que la chaîne ouvre, la chaîne le referme.

Deux règles s’appliquent quelle que soit votre chaîne : un incident ouvert depuis longtemps atterrit sur l’étape la plus tardive due, au lieu de parcourir la chaîne depuis le début, et si personne n’est d’astreinte, la fin de la chaîne s’applique immédiatement. Attendre une minuterie qui n’atteint personne est la seule issue qu’une escalade ne doit pas avoir.

Vérification du numéro de téléphone

Un numéro doit être vérifié avant de recevoir la moindre alerte : un code à usage unique de 6 chiffres, valable 10 minutes, avec 60 secondes d’attente avant un nouvel envoi et 5 tentatives au maximum. Les alertes ne partent que vers des numéros vérifiés.

Ce que l’acquittement veut dire

Acquitter un incident, c’est le prendre en charge : l’escalade s’arrête, tous les autres appareils se taisent, et les rappels ne vont plus qu’à la personne qui l’a pris, pas à toute l’équipe. L’acquittement s’inscrit avec son horodatage sur la chronologie de l’incident, comme chaque événement.

La mise en veille

La mise en veille est le geste plus discret, et ce n’est délibérément pas la même chose. Elle rend un incident silencieux pendant 15 minutes et pour vous seul. Personne d’autre ne se tait, l’escalade n’est pas stoppée, l’incident ne trouve pas de responsable, et rien n’apparaît dans la chronologie comme décision.

Utilisez-la quand vous savez déjà et que vous rejoignez votre poste, et acquittez quand c’est vous qui prenez l’incident en charge. Mettre en veille là où l’acquittement s’impose laisse l’équipe croire que l’incident n’a pas de responsable ; acquitter là où la veille suffit stoppe l’escalade pour tout le monde.

Comme une mise en veille ne concerne que la personne qui la demande, elle ne requiert aucun rôle particulier : qui peut être réveillé par une alerte peut faire taire son propre téléphone.

Les alarmes dépendantes

Quand une panne en entraîne dix, vous voulez une alerte et non dix. Un monitor peut nommer les monitors dont il dépend, et tant que l’une de ces origines est prouvée en panne, ce monitor retient sa chaîne d’alerte au lieu d’ajouter au bruit.

Cela se règle sur le monitor pour lequel on serait réveillé, pas sur l’origine. La règle se compose de 1 à 20 monitors d’origine et d’un délai compris entre une minute et 24 heures.

Ce qui est retenu et ce qui ne l’est pas mérite une seconde lecture :

Retenu	La chaîne d’alerte : push, SMS, appel, les paliers d’escalade
Non retenu	L’incident lui-même, son heure de début, l’indisponibilité, l’enregistrement SLA, la page de statut et ses abonnés

L’incident s’ouvre exactement comme il le ferait autrement. Un voyant rouge sur votre page publique sans le courriel qui l’accompagne serait la seule incohérence que le client de votre client remarque, la notification vers l’extérieur continue donc. Seul le réveil interne attend.

Trois propriétés empêchent que cela devienne l’endroit où les alertes disparaissent :

• Bruyant au moindre doute. L’alerte n’est retenue que si la panne d’une origine est positivement établie. Aucune règle, une origine injoignable, une requête en échec ou une origine qui fonctionne ou reste simplement inconnue signifient toutes bruyant.
• Un délai qui existe toujours, compté depuis le début de l’incident et non depuis maintenant. Une fois écoulé, l’alerte part, quoi que fasse l’origine. Compter depuis le début est ce qui empêche une origine instable d’allonger le silence indéfiniment.
• Visible tant que la retenue dure. Une alerte retenue apparaît dans la cloche, avec qui la retient et jusqu’à quand. Une alerte retenue qu’on ne peut pas voir serait indiscernable d’une alerte perdue.

Un monitor qui se nomme lui-même comme origine ne retient rien, sinon un service étoufferait sa propre alerte.

Les plannings d’astreinte

Des rotations avec étapes d’escalade, et un avertissement dès que le planning présente un trou et que personne n’est de service. L’astreinte, comme le pilotage des incidents, est incluse à partir de sentinel ; le détail par formule est sur formules et limites.

Ce que l’alerte n’est pas

Pas d’IA d’alerte, pas de score d’anomalie qui décide si vous serez réveillé. Pour les 11 types de sondes régionales, la politique configurée confirme la panne ; son quorum par défaut est de 2 régions. Les monitors agent et heartbeat n’utilisent ni région ni quorum et suivent leurs propres règles de signal. La règle du quorum explique le mécanisme régional.