Bir şeyler ters gittiğinde çalışmaya devam edecek şekilde tasarlandı.

Neyi mühendislikle tasarladık

Hiper ölçekli bulut kesintileri

Büyük bulut sağlayıcıları çöker. Sık olmasa da, görünür şekilde ve çöktüklerinde internetin büyük bir kısmını da beraberlerinde götürürler. Herhangi bir tek hiper ölçekleyicinin er ya da geç küresel çapta kötü bir gün yaşayacağı varsayımı üzerine tasarım yaptık. Bu olduğunda Clavitor kimlik bilgileri sunmaya devam eder.

Bölgesel felaketler ve kinetik olaylar

Bölgesel bir olay — bir veri merkezine drone saldırısı, denizaltı kablo kesintisi, doğal afet, bölgesel savaş — tüm bir bulut bölgesini çevrimdışı bırakabilir. 1 Mart 2026'da, her iki AWS Orta Doğu bölgesi aynı olayda karanlığa gömüldü. Bunu bir ders olarak aldık, bir varsayım olarak değil. Mimari, bölgesel bir olayı müşterilerin fark etmediği rutin bir hata modu olarak ele alır.

DNS sağlayıcı kesintileri

DNS'inizi barındıran şirket çökerse, yığınınızın diğer tüm parçaları sağlıklı olsa bile hizmetiniz karanlığa gömülür. Bu, Cloudflare, Route 53, her büyük DNS sağlayıcısı için geçerlidir. DNS sağlayıcımızın kötü bir gün geçirmesi durumunda ne olacağını düşündük.

Sertifika yetkilisi kesintileri

Sertifikanızın yenilenmesi gerektiğinde sertifika yetkilinize ulaşılamazsa, TLS'niz karanlığa gömülür. Bir sertifika yetkilisi tehlikeye girerse, yayınladığı her sertifika geçersiz olur. CA altyapısı yanlış davrandığında TLS'ye ne olduğunu düşündük.

Alan adı kayıt kuruluşu sorunları

Kayıt kuruluşunuz hesabınızı askıya alırsa veya tehlikeye girerse, DNS'in nerede barındırıldığından bağımsız olarak alan adınız kaybolur veya yönlendirilir. Kayıt kuruluşumuzun başarısız olması durumunda ne olacağını düşündük.

TLD operatörü sorunları

Üst düzey alan adını (.com, .ai, .io) yöneten kuruluşun kendisi tek bir hata noktasıdır. Daha küçük TLD'ler, daha az operasyonel derinliğe sahip daha küçük kuruluşlar tarafından işletilir. Bir TLD operatörünün kötü bir hafta geçirmesi durumunda ne olacağını düşündük.

E-posta sağlayıcı kesintileri

E-posta sağlayıcınız kapalıysa, hesap kurtarma kodları gelmez, kayıt onayları gelmez, müşteri destek gelen kutusu karanlıktır. E-posta sağlayıcımıza ulaşılamadığında kimlik doğrulama ve kurtarmaya ne olduğunu — ve kritik olarak, e-posta kapalıyken ürünün geri kalanına ne olduğunu düşündük.

SMS / telefon numarası bağımlılığı

Birçok hizmet, e-posta kapalı olduğunda doğrulama için SMS'e başvurur. Bunu düşündük ve yapmamaya karar verdik. Bir telefon numarası istemek, toplamak istemediğimiz bir kişisel veri kategorisi ekler, müşterileri SIM değiştirme saldırılarına maruz bırakır ve ek bir satıcı bağımlılığı yaratır. Daha iyi bir yol seçtik.

Operasyonel kontrol düzlemi kesintileri

Kendi altyapımızı yönetmek için kullandığımız araçlar da çökelebilir: orkestrasyon ağı, koordinasyon katmanı, dağıtım hattı. Her biri başarısız olabilecek bir satıcı ilişkisidir. Her birinin sonuçlarını düşündük ve satıcı tarafından işletilen kontrol düzlemlerine olan bağımlılığımızı aşamalı olarak azalttık.

Yazılım hataları

Tek bir birleşik kesintinin en olası nedeni, kendi yazılımımızdaki bir hatadır ve bu hata aynı anda her yere dağıtılır. Her çalışan kopya aynı şekilde çöktüğünde coğrafi dağıtımın hiçbir faydası olmaz. Bunu düşündük ve buna göre dağıtım uygulamalarımızı — kanarya dağıtımları, hızlı geri alma, kapatma düğmeleri — mühendislikle tasarladık.

Hesap düzeyinde satıcı eylemleri

Hesap askıya alma, faturalandırma anlaşmazlıkları, düzenleyici beklemeler ve Hizmet Şartları uygulaması, tek bir satıcı ilişkisini tek bir hamlede devre dışı bırakabilir. Her kritik satıcı ilişkisinin tek taraflı olarak sona ermesinin sonuçlarını düşündük ve her katmanda tek satıcıya bağlı kalmama üzerine tasarım yaptık.

İlişkili hatalar

Bazı olaylar aynı anda birden fazla şeyi ortadan kaldırır — birkaç rotayı etkileyen büyük bir kablo kesintisi, hizmetler genelinde koordineli bir saldırı, hem birincil hem de yedek olduğu varsayılan şeyi vuran doğal bir afet. İlişkili hata modlarını özellikle düşündük: birincil de çökmüşken "yedek"in arızalanması. Mimari, tek bir olayın hem birincil hem de onun hata devresini çökertmeyecek şekilde tasarlanmıştır.

Felaket niteliğinde kişisel veri bağımlılıkları

Kasa müşterileri güvenlik ile kendi verilerinin kurtarılabilirliği arasında seçim yapmak zorunda kalmamalıdır. Kullanıcının kasasının kaybedebilecekleri başka bir şeye bağlı olduğu her yeri düşündük: telefon numarası, e-posta hesabı, tek bir cihaz, tek bir parola. Bunların her biri ya ortadan kaldırıldı ya da etrafında mühendislikle tasarım yapıldı.

Operasyonel ekip ulaşılabilirliği

Bir kasa şirketinin, bir olay sırasında kendi ekibi tarafından ulaşılabilir olması gerekir. Operatörlerimizin etrafındaki internet bozulduğunda yanıt verme yeteneğimize ne olacağını düşündük.

Kriptografik ufuk

Kriptografi statik değildir. Post-kuantum dahil olmak üzere güvendiğimiz her kriptografik ilkelin uzun vadeli geçiş yolunu düşündük.

Neye karşı koruma sağlamadığımızı

Altyapı mühendisliğinin neler başarabileceğine dair sınırları açıkça belirtiyoruz.

Bunlar hakkında dürüstüz — ve diğer her şeyi, bunların olmayacağı varsayımıyla dayanıklı olacak şekilde tasarlıyoruz.