Jaká kritéria používáte k rozhodnutí mezi rollbackem a hotfixem?

Question

Accepted Answer

Výchozí volbou je **rollback** — je to nejrychlejší, nejspolehlivější způsob, jak obnovit známý dobrý stav. Po **hotfixu** sáhni jen tehdy, když je rollback nemožný nebo nebezpečnější než oprava vpřed. Při aktivním incidentu je prioritou **nejdřív zastavit krvácení**, diagnostika až potom.

## Rozhodovací kritéria

- **Je rollback bezpečný a možný?** Pokud je předchozí verze známá dobrá a nic nevratného se nestalo, rollbackuj. To je obvyklá odpověď.
- **Vytvořil špatný release nevratný stav?** **Databázová migrace** nebo poškození dat mohou udělat rollback horším než bug. Pokud se nemůžeš bezpečně vrátit, musíš opravit vpřed.
- **Rozumíme opravě?** Rollback nepotřebuje diagnostiku — to je jeho síla. Hotfix, kterému plně nerozumíš, může incident prohloubit; nikdy nepouštěj odhad do produ pod tlakem.
- **Čas do bezpečného stavu.** Vyber cestu, která dosáhne stability nejrychleji s nejmenším rizikem. Jednořádkový, dobře pochopený hotfix může porazit složitý rollback; rizikový fix-forward nikdy neporazí čistý revert.
- **Blast radius a závažnost.** Úplný výpadek vyžaduje nejrychlejší možnou obnovu (obvykle rollback); drobná degradace může umožnit opatrný hotfix.

## Rychlá rozhodovací tabulka

| Situace | Vyber |
| --- | --- |
| Předchozí verze známá dobrá, žádná migrace | Rollback |
| Nasazena nevratná DB migrace | Hotfix / fix-forward |
| Příčina neznámá, závažný dopad | Rollback (kup čas) |
| Triviální, dobře pochopený one-liner | Hotfix |
| Samotný rollback je rizikový/netestovaný | Hotfix |

## Trade-offy a úskalí

- **Rollback** je bezpečný, ale léčí jen symptom — stále dlužíš skutečnou opravu a postmortem.
- **Hotfix** řeší root cause, ale přeskakuje normální záchrannou síť; bugy v hotfixech jsou běžné právě proto, že jsou uspěchané.
- **Netestovaná cesta rollbacku** je past — pokud jsi ji nikdy nezkoušel, může selhat, když ji nejvíc potřebuješ. Nacvičuj rollbacky, než je budeš potřebovat.
- Pozor na **ladění v produkci** pod tlakem; pokud jsi víc než pár minut od jisté opravy, rollbackuj a vyšetřuj v klidu.

## Proč je to důležité

Toto rozhodnutí přichází v nejhorším možném okamžiku — systém dole, čas běží, všichni se dívají. Tech Lead s jasným, nacvičeným pravidlem pro to dramaticky snižuje MTTR a předchází klasické chybě snahy být chytrý uprostřed incidentu, když nudný revert byl přímo tam. Nejdřív obnov, buď chytrý potom.

Situace	Vyber
Předchozí verze známá dobrá, žádná migrace	Rollback
Nasazena nevratná DB migrace	Hotfix / fix-forward
Příčina neznámá, závažný dopad	Rollback (kup čas)
Triviální, dobře pochopený one-liner	Hotfix
Samotný rollback je rizikový/netestovaný	Hotfix