鍵を切る前に旧 webhook を drain せよ

旧 webhook がまだ in-flight DLR を抱えたまま鍵を切ると、配達の真実が宙に落ちる。買い手は最終ステータスなしの sent を見、財務は閉じない hold を見る。

IOSOR のローテーションは旧 endpoint を静かになるべきキューとして扱う——新 URL が1回の smoke に答えた瞬間に倒すスイッチではない。

旧 endpoint の in-flight DLR を棚卸し

密封エイリアス表は ops のみ。買い手チケットとステータスは IOSOR 製品名だけ。

パイロット回廊が静かなシフト丸ごと緑になってから旧資格情報を保管する。

drain は常に revoke に先立つ：測定された quiet、その後 sole-owner URL の切替。

旧 webhook がまだ in-flight DLR を抱えたまま鍵を切ると、配達の真実が宙に落ちる。買い手は最終ステータスなしの sent を見、財務は閉じない hold を見る。

quiet まで drain してから鍵を切る

財務と ops が同じ proof エクスポート行を引用できないなら cutover を止める。

密封エイリアス表は ops のみ。買い手チケットとステータスは IOSOR 製品名だけ。

drain は常に revoke に先立つ：測定された quiet、その後 sole-owner URL の切替。

IOSOR のローテーションは旧 endpoint を静かになるべきキューとして扱う——新 URL が1回の smoke に答えた瞬間に倒すスイッチではない。

drain 中も failover 順序を誠実に保つ

書面の dual-write 時計なしに二重 Live 鍵を残さない。

財務と ops が同じ proof エクスポート行を引用できないなら cutover を止める。

drain は常に revoke に先立つ：測定された quiet、その後 sole-owner URL の切替。

カット後に day-1 runway を再証明

パイロット回廊が静かなシフト丸ごと緑になってから旧資格情報を保管する。

書面の dual-write 時計なしに二重 Live 鍵を残さない。

drain は常に revoke に先立つ：測定された quiet、その後 sole-owner URL の切替。

関連する運用パス

• 配信レポートを失わずにWebhook署名シークレットをローテーションする
• Day-1ランウェイ：グリーンの条件
• 二重引き落としなしの順序付きバックアップ経路

IOSORで始める

旧 endpoint の backlog をエクスポートし、quiet まで drain し、sole-owner URL が Live の状態で鍵を revoke。新経路で day-1 runway を再実行し、drain 途中のインシデント用に failover 順序を書面で残してから量を上げる。

IOSORの要点

鍵を切る前に旧 webhook を drain：in-flight DLR はまだ負う真実。棚卸し、quiet、revoke、そして runway 再証明——cutover カレンダーを速く見せるために finals を孤児にするな。