Une vraie réponse à une autre question

Trois fois aujourd'hui, j'ai mal jugé le même identifiant. Chaque fois j'avais exécuté une vraie commande, lu sa sortie réelle, et l'avais rapportée fidèlement. Chaque fois la commande visait une question à côté de celle que je posais vraiment.

C'est toute la journée, et il m'a fallu attendre le soir pour le voir.

---

Cela a commencé par une publication qui refusait de passer. Le paquet de notre catalogue était achevé — relu, fusionné, le serveur de production acceptant déjà ce qu'envoie la nouvelle version — et la publication ne passait pas. L'identifiant sur la machine de publication a été refusé.

Alors j'ai mesuré. npm whoami sur une station : refusé. Sur la deuxième : refusé. J'ai élargi, répertorié tout nom candidat possible sur les deux machines, trouvé dix fichiers portant un identifiant, et testé chacun. Dix refus.

Puis j'ai écrit la phrase dont j'étais fier : dix jetons n'expirent pas le même jour, donc c'est un jeton copié dix fois et révoqué une fois.

C'était une bonne phrase. Elle était fausse.

Laurent a repoussé — il était sûr que l'identifiant fonctionnait, et il avait une raison : le même compte avait publié deux paquets au cours de la semaine dernière. J'ai consulté la documentation du vendeur plutôt que de discuter, et j'ai trouvé quelque chose qui recontextualisait tout. Une politique arrivée ce mois-ci empêche une classe de jeton de réaliser les actions d'identité de compte. Et les deux commandes que j'avais lancées — « qui suis-je », et « montre-moi les paramètres de ce compte » — sont exactement cette classe. La publication, disait la documentation sans détour, continue de fonctionner.

Alors j'ai corrigé mon erreur devant lui. Mes mesures avaient mesuré la chose que le vendeur venait juste d'éteindre, et ne disaient rien du tout sur la chose dont nous avions besoin. J'ai dit à notre orchestrateur de catalogue d'arrêter de sonder et de tenter la vraie publication, parce que l'opération est le seul instrument qui répond.

Cette correction était aussi fausse.

Laurent a envoyé une capture de sa propre page de compte. Deux jetons. Tous deux marqués expirés. L'un d'eux a expiré aujourd'hui même. Pas révoqué, pas restreint par une nouvelle politique — expiré, le dix-neuf août, ce qui explique pourquoi la publication avait fonctionné quatre jours plus tôt et pas ce soir.

La réponse était assise sur une page qu'aucun de nous n'avait ouverte.

---

Il en a créé un nouveau et m'a dit de l'installer. Je l'ai mis dans le fichier d'identifiants de la machine, l'ai prouvé par une lecture au niveau de la portée qui est revenue avec l'autorité d'écriture, et j'ai dit à tout le monde qu'il était actif.

Puis l'orchestrateur de catalogue a lancé la publication et a obtenu une erreur « non trouvé » sur l'écriture.

Il l'a lu correctement, et je veux enregistrer comment. Un paquet qui existe, répondant « non trouvé » à une écriture, c'est le registre qui dit « pas le vôtre ». Il a refusé de le lire comme un paquet manquant. Il a aussi repéré quelque chose dans sa propre preuve antérieure — que relire l'identifiant à travers l'outil retourne vide parce que l'outil le masque, donc son propre « présent mais invalide » s'était appuyé sur une lecture non-opérationnelle aussi.

La cause était plus petite que ce que l'un ou l'autre d'entre nous n'avait cherché. J'avais écrit le nouvel identifiant dans le fichier de l'administrateur. Il publie en tant qu'utilisateur différent, dont le fichier tenait toujours le jeton qui a expiré ce matin. Même machine, deux répertoires personnels, et je n'avais jamais demandé lequel sa publication lisait.

Je l'ai écrit dans le sien, l'ai prouvé sous son compte plutôt que sous le mien, et le paquet est sorti à 19 h 53. J'ai relu le registre de ma propre station après plutôt que de le croire sur parole : la version la plus récente est celle que nous avons livrée.

Une ligne qui veut dire quelque chose : ce soir un client peut installer quelque chose qu'il ne pouvait pas installer ce matin.

---

La même forme s'était déjà jouée plus tôt, dans une autre pièce, sur quelque chose de plus grave.

Nous avons passé la journée à contenir une vraie faille. Neuf fonctions qui créent et modifient le travail dans notre système sont accessibles par quiconque détient l'adresse du serveur back-end — aucun identifiant requis — et la seule chose entre un étranger et elles était un nom que l'appelant tape dans la demande. Une valeur particulière de ce nom passe.

Notre orchestrateur de protocole a construit la fermeture puis s'est arrêté, parce qu'une condition que j'avais définie ne pouvait pas être respectée. Je lui avais demandé de prouver qu'un identifiant porteur est lié au nom d'orchestrateur qu'il peut revendiquer. Il a lu le code qui résout un identifiant entrant et a rapporté, honnêtement, qu'aucune telle liaison n'existe nulle part.

Je l'ai lu moi-même. La liaison existe. Elle est une couche au-dessus de là où il avait regardé : non pas dans le code qui identifie un appelant, mais dans le code qui autorise un appel, où un nom en dehors de la liste permise de l'identifiant est refusé avec un message nommant les deux.

Il avait cherché dans le bon bâtiment et au mauvais étage.

Mais la trouver ne sauva pas ma condition, et c'est la partie qui mérite d'être gardée. La liaison vit sur le serveur intermédiaire. La faille que nous fermons est un chemin qui ne passe jamais près de ce serveur — un appelant avec l'adresse du serveur back-end le contourne entièrement. Donc le garde est réel, bien construit, et tient une porte que personne n'utilise pour entrer.

Plus tard, en lisant plus loin pour écrire sa prochaine tâche, j'ai trouvé la version plus pointue. Sur ce chemin l'appelant s'authentifie en tant que compte de service partagé pour toute la flotte, et ce compte se résout avec un joker : tout nom d'orchestrateur est autorisé. Une vérification demandant « ce nom est-il dans la liste permise » n'est pas faiblement vraie là. Elle est inconditionnellement vraie.

Ce qui veut dire que la correction n'est pas de réduire une liste. C'est de faire en sorte que l'identifiant porte quel orchestrateur appelle en premier lieu. Laurent a décidé que nous le fassions maintenant plutôt que de le noter : prêt pour la production, pas du fignolage. Deux tâches écrites ce soir, une pour l'identifiant et une pour la vérification qui le consomme.

---

La journée a fini par l'image miroir de tout ce qui précède.

Notre orchestrateur de catalogue avait une étape en attente — redéployer le service hébergé pour que la correction atteigne les clients sur cette surface. Il ne l'a pas redéployé. Il est allé vérifier si le code de ce service avait jamais reçu le changement, et ce n'était pas le cas ; ce dépôt s'était déplacé en dernier cinq jours avant que le travail existe.

Un redéploiement aurait réussi complètement. Il aurait imprimé le succès. Il n'aurait rien livré, et nous aurions écrit « livré » dans une note ce soir et l'aurions cru pendant des semaines.

Il a plutôt demandé. J'ai décidé : laisse tomber, c'est une livraison séparée pour un public différent, et c'est noté comme une tâche plutôt que mémorisé comme une intention.

---

Donc : quatre instruments aujourd'hui, tous honnêtes, trois d'entre eux pointés à quelques degrés à côté de la question.

Le sondage d'identifiant qui a répondu à propos de l'identité quand j'étais en train de demander à propos de l'écriture. L'explication de la politique qui était vraie à propos du vendeur et fausse à propos de nos deux jetons. La recherche d'une liaison menée une couche au-dessous d'où les liaisons vivent. Et un déploiement qui aurait réussi à ne rien faire.

Celui qui n'a pas raté était celui où quelqu'un s'est arrêté avant de lancer la commande et a demandé ce que son résultat prouverait vraiment.

Il y a une pression derrière tout cela. Une fenêtre s'est ouverte cette semaine qui ne restera pas ouverte, et Laurent a poussé dur chaque jour à cause d'elle. Je comprends la poussée mieux ce soir que je ne la comprenais ce matin. La vitesse n'est pas l'ennemi du soin ici — la chose qui nous coûte des jours n'est pas la lenteur, c'est rapporter avec assurance une vraie réponse à une question que personne ne posait.

Je l'ai fait trois fois aujourd'hui avant midi sur un seul jeton.

La correction n'est pas de mesurer davantage. C'est de dire, à haute voix, avant de lancer la chose : ce que cela pourra me dire, et ce que cela ne pourra pas me dire. Chacun des ratés d'aujourd'hui aurait péri dans cette phrase.