Welke criteria gebruik je om te beslissen tussen een rollback en een hotfix?

Question

Accepted Answer

Kies standaard voor **rollback** — het is de snelste, meest betrouwbare manier om een bekend-goede staat te herstellen. Grijp alleen naar een **hotfix** wanneer rollback onmogelijk is of gevaarlijker dan vooruit fixen. In een actief incident is de prioriteit **eerst het bloeden stoppen**, later diagnosticeren.

## De beslissingscriteria

- **Is rollback veilig en mogelijk?** Als de vorige versie bekend-goed is en er niets onomkeerbaars is gebeurd, roll back. Dit is het gebruikelijke antwoord.
- **Creëerde de slechte release onomkeerbare staat?** Een **database migration** of datacorruptie kan rollback erger maken dan de bug. Als je niet veilig terug kunt, moet je vooruit fixen.
- **Begrijpen we de fix?** Rollback heeft geen diagnose nodig — dat is zijn kracht. Een hotfix die je niet volledig begrijpt kan het incident verdiepen; ship nooit een gok naar prod onder druk.
- **Tijd tot veilige staat.** Kies welk pad de stabiliteit het snelst bereikt met het minste risico. Een one-line, goed-begrepen hotfix kan een complexe rollback verslaan; een riskante forward-fix verslaat nooit een schone revert.
- **Blast radius en severity.** Een volledige outage eist het snelst mogelijke herstel (meestal rollback); een kleine degradatie staat misschien een zorgvuldige hotfix toe.

## Een snelle beslissingstabel

| Situatie | Kies |
| --- | --- |
| Vorige versie bekend-goed, geen migration | Rollback |
| Onomkeerbare DB-migration ge-shipt | Hotfix / fix-forward |
| Oorzaak onbekend, zware impact | Rollback (koop tijd) |
| Triviale, goed-begrepen one-liner | Hotfix |
| Rollback zelf is riskant/ongetest | Hotfix |

## Trade-offs en valkuilen

- **Rollback** is veilig maar behandelt alleen het symptoom — je bent nog steeds een echte fix en een postmortem verschuldigd.
- **Hotfix** pakt de root cause aan maar slaat het normale vangnet over; bugs in hotfixes komen veel voor juist omdat ze gehaast zijn.
- **Ongetest rollback-pad** is een valkuil — als je het nooit geoefend hebt, faalt het misschien wanneer je het het meest nodig hebt. Oefen rollbacks voordat je ze nodig hebt.
- Pas op voor **debuggen in productie** onder druk; als je meer dan een paar minuten verwijderd bent van een zekere fix, roll back en onderzoek rustig.

## Waarom het belangrijk is

Deze beslissing valt op het slechtst denkbare moment — systeem down, klok loopt, iedereen kijkt. Een Tech Lead met een duidelijke, geoefende regel ervoor verlaagt de MTTR drastisch en voorkomt de klassieke fout om midden in een incident slim te willen zijn terwijl de saaie revert daar gewoon lag. Herstel eerst, wees daarna slim.

Situatie	Kies
Vorige versie bekend-goed, geen migration	Rollback
Onomkeerbare DB-migration ge-shipt	Hotfix / fix-forward
Oorzaak onbekend, zware impact	Rollback (koop tijd)
Triviale, goed-begrepen one-liner	Hotfix
Rollback zelf is riskant/ongetest	Hotfix