Des SLA De Disponibilité Qui Ont Du Sens

Un SLA de disponibilité ressemble à une promesse et se comporte comme une politique de remboursement. Les fournisseurs le savent. Les clients, souvent pas, et ils signent un contrat de niveau de service en croyant avoir acheté de la disponibilité alors qu’ils ont acheté une petite remise au cas où ils ne l’obtiendraient pas.

Ce n’est pas forcément une mauvaise affaire. C’est simplement une autre affaire que celle que la plupart des gens croient conclure, et la différence compte le jour où le système est à l’arrêt et où quelqu’un demande ce que dit le contrat.

Trois neuf semblent proches de la perfection et autorisent 43 minutes d’indisponibilité par mois. Quatre neuf en autorisent quatre. Si votre activité absorbe une panne de 43 minutes un après-midi de semaine, 99,9% suffit et vous ne devriez pas payer davantage. Sinon, aucun nombre de neuf ne vous sauve, car l’accord vous verse un avoir au lieu d’empêcher la panne.

Ce qu’un SLA de disponibilité promet en minutes

Les pourcentages compriment un très large éventail dans un écart d’apparence minuscule. Écrits en temps, les écarts sautent aux yeux.

Deux conséquences en découlent. Le passage de 99,9% à 99,99% divise par dix l’indisponibilité tolérée et coûte en général bien plus que dix fois plus cher, parce qu’il impose une redondance qui supprime chaque point de défaillance unique, y compris le processus de déploiement. Et tout ce qui atteint ou dépasse cinq neuf se situe sous le temps qu’il faut à un humain pour remarquer l’incident et réagir, si bien que seuls des systèmes qui basculent sans intervention peuvent y parvenir.

Fixez le chiffre à partir de ce qu’une panne vous coûte réellement par heure, pas à partir de ce qui sonne bien en réunion. La plupart des systèmes d’entreprise sont honnêtement bien servis par 99,9%.

Les crédits de service ne sont pas une indemnisation

Le recours prévu par presque tous les SLA de disponibilité est un avoir sur les factures à venir, en général un pourcentage de la mensualité, et souvent plafonné au montant du mois concerné. Le SLA Compute de Google Cloud en est un exemple représentatif : uniquement des avoirs, à réclamer par le client, plafonnés.

Autrement dit, le maximum récupérable correspond à peu près à ce que vous avez payé pour la période, ce qui, pour la plupart des services, reste très loin du coût d’une panne. Une plateforme facturée quelques centaines de livres par mois ne peut pas compenser une journée de chiffre d’affaires perdue, et aucun fournisseur n’acceptera des conditions qui le lui permettraient.

Les avoirs sont aussi fréquemment soumis à réclamation plutôt qu’automatiques. Vous devez repérer le manquement, le calculer et déposer une demande dans un délai parfois réduit à trente jours. Les fournisseurs ne sont pas tenus de signaler spontanément qu’ils ont manqué leur objectif, et la plupart ne le font pas.

La conclusion pratique est d’arrêter de voir l’avoir comme une protection. C’est un signal sur le sérieux avec lequel le fournisseur traite son propre chiffre. Ce qui vous protège, c’est l’architecture, ainsi que la planification de reprise décrite dans notre guide de reprise après sinistre.

Les clauses qui décident de tout

Ce qui compte comme indisponibilité. Uniquement l’indisponibilité totale, ou aussi la dégradation des performances ? Un service qui répond en trente secondes est inutilisable et, selon la plupart des définitions, disponible. Faites entrer un seuil de latence dans la définition si le temps de réponse compte pour vous.

Comment la mesure est faite, et par qui. Presque toujours par le fournisseur, avec sa propre supervision, depuis son propre réseau. Cela mesure son infrastructure, pas votre expérience. Négociez le point de mesure et déployez malgré tout une supervision indépendante, car vous ne pouvez pas contester un chiffre que vous n’avez pas observé.

Les exclusions. La maintenance planifiée est en général totalement exclue, ce qui permet à un fournisseur d’être indisponible plusieurs heures par mois sans rien enfreindre. Vérifiez le préavis exigé et l’existence d’un plafond. Sont également exclus tous les incidents imputés à votre configuration, à un tiers ou à la force majeure, et ces catégories absorbent beaucoup.

La fenêtre de mesure. Le mois est la norme et joue en votre faveur. Une mesure annuelle laisse un fournisseur encaisser une longue panne tout en tenant l’objectif, car une journée entière d’arrêt tient dans l’enveloppe annuelle à 99,9%.

Réponse ou résolution. Beaucoup de contrats s’engagent à répondre dans un délai et ne disent rien de la réparation. Une réponse en une heure avec une réparation sans limite est une forme courante, et bien plus faible qu’elle n’en a l’air.

Ce qu’il faut demander à la place

Appuyez sur ce qui change les comportements plutôt que sur le chiffre affiché.

Un plafond sur la maintenance planifiée, avec préavis et créneau hors de vos heures de pointe. Cela pèse souvent plus sur la disponibilité réelle que le pourcentage lui-même.

La transparence sur l’état du service, c’est-à-dire une page de statut publique et l’engagement de publier les incidents rapidement. Un fournisseur qui déclare ses propres pannes vous dit quelque chose sur sa façon de travailler.

Un chemin d’escalade défini avec des noms ou des rôles et des délais, pour qu’un incident ne commence pas par la recherche de la bonne personne à joindre.

Des rapports d’incident après les pannes importantes, décrivant ce qui s’est passé et ce qui a changé ensuite. C’est le document le plus instructif qu’un fournisseur puisse vous remettre, et une réticence à le fournir est déjà instructive en soi.

Un droit de résiliation en cas d’échecs répétés. Une sous-performance chronique doit vous permettre de partir sans pénalité. Ce droit vaut plus que n’importe quel avoir, car c’est le seul recours proportionné au préjudice.

Si c’est vous qui proposez un SLA

Annoncez un chiffre que vous tenez lors de votre pire mois, pas lors d’un mois moyen, et mesurez-le vous-même avant de vous engager. Les fournisseurs qui s’engagent sur une valeur jamais vérifiée découvrent l’écart en public.

Définissez honnêtement la maintenance planifiée et respectez le créneau. Publiez une page de statut. Rédigez le rapport d’incident même quand personne ne le réclame, car les clients qui restent sont ceux qui croient que vous savez ce qui s’est passé.

Et tarifez les paliers selon ce qu’ils vous coûtent vraiment à livrer. Quatre neuf ne relèvent pas du marketing, ce sont une infrastructure redondante, une bascule automatique et un processus de déploiement incapable d’arrêter le système, et tout cela arrive avec une facture. Les fondations opérationnelles décrites dans notre guide des pipelines CI/CD sont le point de départ de l’essentiel.

Mecanik construit et exploite des systèmes sous engagement de disponibilité dans le cadre de notre analyse de sécurité serveur. L’engagement qui mérite d’être pris est presque toujours celui que vous tenez pendant une mauvaise semaine.

Questions fréquentes

Combien d’indisponibilité 99,9% de disponibilité autorisent-ils ? 8,76 heures par an, soit 43,2 minutes par mois. Le passage à 99,99% ramène cela à 52,6 minutes par an et 4,32 minutes par mois, une division par dix qui coûte en général bien plus que dix fois plus cher à livrer, car elle impose de supprimer chaque point de défaillance unique, y compris le processus de déploiement.

Les crédits de service constituent-ils une vraie indemnisation ? Non. Les avoirs représentent en général un pourcentage de la mensualité et sont plafonnés au montant du mois, donc le maximum récupérable correspond à peu près à ce que vous avez payé, très loin du coût habituel d’une panne. Ils sont en outre souvent soumis à réclamation dans un délai court, et les fournisseurs signalent rarement d’eux-mêmes qu’ils ont manqué leur objectif.

Que faut-il vérifier dans un SLA de disponibilité ? Ce qui compte comme indisponibilité et si la dégradation des performances y figure, qui mesure et depuis où, ce que couvrent les exclusions, si la maintenance planifiée est plafonnée et annoncée, si la fenêtre est mensuelle ou annuelle, et si l’engagement porte sur la réponse ou sur la résolution.

Pourquoi la fenêtre de mesure compte-t-elle autant ? La mesure mensuelle favorise le client. La mesure annuelle laisse un fournisseur encaisser une seule longue panne tout en tenant l’objectif, car une journée entière d’arrêt tient dans l’enveloppe annuelle à 99,9%. La même défaillance ferait manquer un accord mensuel sans discussion possible.

Que négocier plutôt qu’un chiffre plus élevé ? Un plafond sur la maintenance planifiée avec préavis hors heures de pointe, une page de statut publique avec publication rapide des incidents, un chemin d’escalade nommé avec des délais, des rapports d’incident écrits après les pannes importantes, et un droit de résiliation en cas d’échecs répétés. Le dernier est le seul recours proportionné au préjudice.