Cutover minuit : bascule vers nouveau PostgreSQL managé. 00 h 17, erreurs contrainte FK — table orpheline présente seulement sur le new. Retour arrière annoncé 45 minutes. Cause : migration schéma sans expand/contract, trafic basculé avant parity check row count.
Migrer une base = ordonnancer trois flux : schéma compatible, synchronisation données, bascule trafic. L'ordre compte plus que la fenêtre de maintenance affichée.
Expand / contract
- Ajouter colonnes/tables nullable (expand).
- Déployer app lisant les deux schémas si besoin.
- Backfill données.
- Basculer écritures.
- Supprimer ancien (contract) — jamais avant parité prouvée.
Breaking change même release que cutover = ticket incident garanti.
Sync données
| Méthode | Quand |
|---|---|
| pg_dump / restore | Petite DB, maintenance acceptée |
| Réplication logique | Grosse DB, faible downtime |
| CDC (Debezium) | Near real-time |
| Snapshot + WAL | Cloud managed PITR |
Test lag et conflits avant minute cutover. Dimensionnez IOPS/RAM nouvelle instance avant sync.
Cutover checklist
Freeze changements schéma. Compare row counts hash échantillon. Stop writes old. Sync final. Flip pool connexion (PgBouncer session mode si prepared statements). Smoke tests. Monitor erreurs 1 h.
Feature flag URL DB. Old instance read-only 7 j minimum post-cutover.
PgBouncer et pools
Mode transaction casse prepared statements — session mode ou connexion directe jour J documentée runbook. Pools cache ancien hostname : restart apps explicitement post-cutover.
Rollback crédible : revert DNS/pool + resync inverse testé sur clone — pas une slide sans commandes chronométrées.
Dry-run sur clone
Exécutez cutover complet sur clone identique — minuit prod n'est pas le moment de découvrir l'ordre. Archivez plan signé : expand/contract, fenêtres, owners, critères rollback chiffrés.
Comparez hébergeurs RDS/managed DB via comparateur sur IOPS et support cutover.
Semaine post-cutover
Instance old read-only 7j minimum. Monitor erreurs schema mismatch ORM cache.
Test emoji utf8mb4 avant cutover — truncation silencieuse.
Feature flags découpent deploy schema et flip trafic.
Suivi opérationnel
Archivez plan migration signé — post-mortem futur sans mémoire oral. Incluez ordre expand contract, fenêtres, owners, critères rollback chiffrés. Liquibase checksum conflict Friday deploy — freeze migrations cutover week documented. Documentez les écarts entre promesse hébergeur et mesure terrain dans la revue trimestrielle.
Poursuite trimestrielle
Archivez plan migration signé — post-mortem futur sans mémoire oral. Incluez ordre expand contract, fenêtres, owners, critères rollback chiffrés. Liquibase checksum conflict Friday deploy — freeze migrations cutover week documented. Documentez les écarts entre promesse hébergeur et mesure terrain dans la revue trimestrielle.
Tenez runbook daté, métriques avant/après, revue post-incident — la discipline cumulative évite la panique du vendredi soir.
Tenez runbook daté, métriques avant/après, revue post-incident — la discipline cumulative évite la panique du vendredi soir.
Tenez runbook daté, métriques avant/après, revue post-incident — la discipline cumulative évite la panique du vendredi soir.
Tenez runbook daté, métriques avant/après, revue post-incident — la discipline cumulative évite la panique du vendredi soir.
Tenez runbook daté, métriques avant/après, revue post-incident — la discipline cumulative évite la panique du vendredi soir.
Tenez runbook daté, métriques avant/après, revue post-incident — la discipline cumulative évite la panique du vendredi soir.
Poursuite opérationnelle
Conservez un runbook daté, une revue trimestrielle avec les équipes métier, et des métriques avant et après chaque changement. Documentez les écarts entre promesse hébergeur et mesure terrain : latence, quotas, restore, support. Pour comparer l'infrastructure et lire d'autres retours du terrain, parcourez notre annuaire, le comparateur et les guides techniques du blog — une décision documentée vaut mieux qu'un upgrade acheté dans l'urgence du vendredi soir.
Revue trimestrielle
Comparez mesures terrain et fiche produit hébergeur : latence, quotas, restore, délais support. Ajustez contrat ou architecture sur preuves, pas sur sensation.
Clôture de cycle
Partagez le runbook mis à jour avec l'équipe support et planifiez le prochain exercice sur calendrier partagé — la mémoire institutionnelle évite de refaire les mêmes erreurs.
Décider et avancer sans angle mort
- Expand / contract schéma — colonnes nullable, dual read, backfill, switch writes, drop old après parité.
- Dry-run cutover sur clone — parity checks automatisés, load test 1 h, rollback chronométré.
- PgBouncer session mode — pendant migration si scripts utilisent prepared statements.
- Communication stakeholders — freeze feature, FAQ support, coût double instance temporaire.
- Fenêtre prod seulement après succès clone — minuit n'est pas le moment de découvrir l'ordre.
RDS et managed DB : comparateur, annuaire, guides migration.
Questions fréquentes
Big bang ou dual-write ?
Big bang concentre le risque en fenêtre courte. Dual-write réduit cutover minute mais complexifie l'application.
Schéma avant données ?
Schéma compatible backward (expand) d'abord, sync données, bascule trafic, puis contraction.
PgBouncer pendant migration ?
Mode transaction casse prepared statements — session mode ou connexion directe le jour J documenté runbook.
Rollback crédible ?
Revert DNS/pool + resync inverse testé sur clone — pas une slide sans commandes chronométrées.
Exécutez un dry-run cutover complet sur clone — minuit prod n'est pas le bon moment pour découvrir l'ordre.