Quand la supervision ment
la sonde disait hors ligne, le SIP répondait

Les faits

La carte de supervision de notre page Téléphonie indiquait « sonde injoignable » pendant que le serveur d'appel répondait normalement. Un visiteur, un client, pouvait en conclure que la téléphonie était tombée. C'est le pire défaut possible pour une page d'état : elle ne se trompe pas dans le vide, elle se trompe devant du monde.

Trois causes, cumulées

• La cible testée n'était pas le service : la sonde interrogeait le site web du serveur d'appel, pas sa signalisation SIP.
• Le cache était froid : dix cibles contrôlées en séquence, jusqu'à une seconde et demie chacune, avant la première réponse.
• Le délai côté navigateur était trop court : l'affichage abandonnait avant la fin du contrôle et écrivait « injoignable ».

Trois défauts qui, pris séparément, sont bénins. Ensemble, ils produisent une fausse panne crédible.

Ce qu'on a corrigé

La sonde vérifie désormais la signalisation et le certificat, la réponse est mise en cache soixante secondes, et l'affichage attend la fin du contrôle avant de conclure. Surtout, la page dit ce qu'elle mesure et ce qu'elle ne mesure pas : un contrôle HTTPS ne prouve pas qu'un appel passe.

Les règles qu'on applique maintenant

• Tester ce que le client utilise, pas ce qui est facile à tester.
• Publier l'heure du dernier contrôle, pour que le lecteur sache si l'information est fraîche.
• Distinguer « en panne » de « je ne sais pas » : ce sont deux messages différents, et le second n'a pas à ressembler au premier.

Pourquoi ça compte au delà de la page

Le même raisonnement vaut pour une supervision interne. Une alerte qui crie pour rien apprend aux équipes à ne plus la lire, et une supervision qu'on ne lit plus ne protège plus personne. Une sonde honnête dit trois choses : ce qu'elle mesure, quand elle l'a mesuré, et ce qu'elle ignore.