Affidabilità e SLA
02 / 07
La disponibilità non è uno slogan. È un contratto.
Con l'hosting gestito la disponibilità è garantita per iscritto e misurata da una sonda esterna indipendente: 99,5% sul livello Basic, 99,8% su Standard e Premium. Ogni numero di questa pagina vive in un documento contrattuale versionato, non in una brochure.
La garanzia
Disponibilità garantita per livello, misurata dall'esterno
La misura non la facciamo in casa: una sonda esterna interroga l'istanza 24 ore su 24 e verifica l'accesso reale al database, non solo che la pagina risponda. Il livello Basic garantisce il 99,5% mensile (216 minuti di fermo concessi), Standard e Premium il 99,8% (86 minuti e 24 secondi). Gli impegni valgono in hosting gestito: su un'istanza installata dal cliente non abbiamo un punto di osservazione da cui misurare.
Una sonda esterna, e due contrappesi
Il punto di osservazione è uno: una sonda esterna indipendente, su rete diversa dalla macchina che ospita il servizio, con interrogazione ogni 60 secondi, timeout di 10 e regola delle due rilevazioni consecutive per filtrare i falsi positivi. A compensare ci sono due meccanismi: le sonde fallite per un guasto riconosciuto della centrale non ti vengono addebitate, e una sentinella locale sulla macchina prova che il servizio stava girando. Con una sola centrale, però, un guasto di rete non riconosciuto resta contato a nostro carico: è scritto così anche nel documento di SLA.
Verifica reale, non cosmetica
La sonda non si accontenta di una pagina che risponde: verifica che l'applicazione acceda davvero ai dati. Un CRM con il database irraggiungibile è fermo, e come tale viene conteggiato.
Dati verificabili
Le misure sono conservate per 13 mesi: è il minimo che la configurazione della centrale accetta, e copre l'anno contrattuale più un margine. Ogni mese produciamo un resoconto con la percentuale, i minuti di fermo conteggiati, le finestre di manutenzione dichiarate (data, ora, durata, motivo, operatore) e i campioni scartati per guasto riconosciuto della centrale. Hai 30 giorni dalla chiusura del mese per contestare il calcolo con le tue evidenze: le due serie di misure si confrontano in contraddittorio.
Un budget di fermo, non un traguardo da sfiorare.
Il 99,8% concede 86 minuti e 24 secondi al mese: il doppio di quanto concederebbe il 99,9%. È una scelta deliberata di cuscinetto, perché su un'architettura a istanza singola, senza ridondanza, fra quei due numeri c'è un solo incidente notturno gestito male. Preferiamo promettere una cifra che regge, e spenderla in rilasci, incidenti e imprevisti.
Basic: 216 min / mese (99,5%)
Standard e Premium: 86 min 24 s (99,8%)
Misura al minuto, sonda ogni 60 s
Se la promessa non viene mantenuta
Che cosa è già fissato, e che cosa non lo è ancora
Esclusioni dal computo, finestra di manutenzione, modalità di rendicontazione e termine per contestare sono definiti nel documento sui livelli di servizio, che fa parte del pacchetto contrattuale e ti mandiamo prima della firma. Il rimedio economico per il mese che chiude sotto l'impegno è invece una proposta ancora in attesa di ratifica: finché non è approvata, questa pagina non ne dichiara l'importo, e non lo dichiara nemmeno il contratto. Preferiamo scriverlo qui che lasciartelo scoprire a consuntivo, e discuterne prima della firma con un numero deliberato invece che con uno di comodo.
Obiettivi di ripristino
Quanto puoi perdere, in quanto torni operativo
Due numeri decidono tutto: l'RPO (il lavoro massimo che puoi perdere se succede il peggio) e l'RTO (il tempo massimo per tornare operativi). I livelli di servizio si differenziano esattamente su questi, più la profondità dell'archivio a cui puoi tornare indietro.
| Obiettivo | Basic | Standard | Premium |
|---|---|---|---|
| Disponibilità mensile garantitacon hosting gestito | 99,5% (216 min di fermo) | 99,8% (86 min 24 s) | 99,8% (86 min 24 s) |
| RPO (lavoro perso massimo) | 24 ore | 24 ore | fino a 1 ora |
| RTO (ritorno all'operatività)copre servizio applicativo e base dati, non il rientro degli allegati | 2 giorni lavorativi | entro 8 ore | entro 4 ore |
| Frequenza dei backup | giornalieri | giornalieri + settimanali | orari + giornalieri + settimanali + mensili |
| Punti di ripristino a regime | 30 | 43 | 103 |
| Profondità dell'archivio | 30 giorni | circa 3 mesi | 12 mesi |
| Copia degli allegati | specchio giornaliero + cestino datato | specchio giornaliero + cestino datato | specchio giornaliero + cestino datato |
| Cestino degli allegatiper quanto una cancellazione resta reversibile | 30 giorni | 90 giorni | 365 giorni |
| Prove di ripristino realicadenza prevista dal livello | annuale | semestrale | trimestrale, con resoconto al cliente |
Questi impegni valgono con l'hosting gestito: in self-hosted l'infrastruttura è del cliente e con essa disponibilità, copie di sicurezza e ripristino, mentre software, aggiornamenti e supporto restano nostri. La disponibilità garantita cambia con il livello (99,5% sul Basic, 99,8% su Standard e Premium), e con essa cambia la profondità della protezione. La copia degli allegati richiede uno spazio di archiviazione configurato per l'istanza. Un'ultima condizione, che vale quanto i numeri: la supervisione automatica non ha orari, le persone sì. Il presidio umano è lunedì-venerdì 9:00-18:00, e gli RTO espressi in ore presuppongono che una persona intervenga: la reperibilità fuori orario, e se quelle ore decorrano continue o lavorative, sono decisioni che non abbiamo ancora preso. Prezzi e composizione dei livelli nella pagina Prezzi.
Numeri misurati, non stimati
Ogni tempo dichiarato è stato cronometrato
Gli obiettivi non sono calibrati sull'ottimismo: sono calibrati su esercitazioni reali, ripetute e documentate (ultima campagna: luglio 2026), condotte su macchine di prova equivalenti a quelle di produzione (stesso fornitore, stesso storage, stesso sistema operativo) e ripetute su due tagli di macchina, riportando il valore peggiore e non la media. La procedura di ripristino viene inoltre riprovata dalla verifica automatica a ogni rilascio, su un archivio ridotto: quella prova accerta che la procedura funzioni, non misura un tempo.
25 s
Salvataggio completo del database
Backup integrale di una base dati da 4,9 GB con 3 milioni di record, da 3 a 5 volte l'istanza tipica: 25 secondi. La copia notturna non pesa sull'operatività.
6:07
Ripristino completo, con verifica
Ripristino seriale integrale della stessa base dati, indici ricostruiti e verifica di integrità su tutti i conteggi: 367 secondi.
68 s
Ripristino a due fasi
La procedura a due fasi riporta il servizio in linea in 68 secondi su quella base dati (4,9 GB, 3 milioni di record, 8 vCPU); l'indice di ricerca si ricostruisce dopo, a servizio già attivo, in altri 357 secondi. È un tempo tecnico, non l'RTO contrattuale, e copre servizio applicativo e base dati: il rientro degli allegati dipende dal volume dei file della singola istanza, che varia di ordini di grandezza da cliente a cliente, e su di esso non c'è un tempo garantito. Gli allegati sono in copia e il loro ripristino è stato provato: quello che manca è il cronometro, non la copia.
23 s
Ripartenza automatica
Supervisione attiva su ogni componente: applicazione di nuovo in linea in 6,9 secondi, processi in background in 10,1, database in 6. Riavvio completo della macchina: 23 secondi. Il rientro della base dati è stato riverificato su macchina reale in servizio il 31 luglio 2026, con lo stesso esito.
0
Dati confermati persi nei crash test
Interrompendo brutalmente il database nel mezzo di scritture continue, tutto ciò che era stato confermato all'utente è sopravvissuto: zero righe perse. Un arresto improvviso costa i secondi della ripartenza automatica, non i dati.
Dove vivono le copie
Fuori dalla macchina, dentro i confini
Fuori dalla macchina, per configurazione
Nelle istanze in hosting gestito la messa in servizio configura uno storage a oggetti compatibile S3 in data center sul territorio italiano, separato dalla macchina del servizio: ogni copia vi viene trasferita appena prodotta e sulla macchina restano solo le più recenti, per comodità operativa. È un passo di attivazione, non un automatismo: finché non è completato la configurazione predefinita scrive sul disco della macchina, e in quello stato le copie ruotano ma non proteggono dalla perdita della macchina. Per questo la verifica del primo ciclo completo fa parte della consegna, non del primo incidente.
Uno spazio per ogni cliente
Ogni cliente ha uno spazio dedicato, con credenziali proprie a permessi minimi: quelle presenti sulla macchina di un cliente non leggono le copie di nessun altro. Le copie viaggiano su canale cifrato (TLS) e riposano con la cifratura a riposo applicata dal fornitore di storage. Non sono invece su supporto non riscrivibile: chi disponesse di quelle credenziali potrebbe alterarle, ed è un irrobustimento che abbiamo individuato e non ancora adottato.
Freschezza sorvegliata
Ogni fascia ha una soglia di età oltre la quale la copia è considerata mancante: 2 ore per le orarie, 26 ore per le giornaliere, 8 giorni per le settimanali, 32 per le mensili. La valutazione è automatica e ripetuta: oltre soglia il livello giornaliero produce un guasto registrato, con la sua ragione scritta per esteso, e gli altri livelli un'attenzione. Su quale canale quell'allarme raggiunga una persona è una scelta che non abbiamo ancora deliberato, e preferiamo scriverlo: oggi la copia mancata viene rilevata e resta registrata.
Manutenzione e rilasci
Aggiornarsi senza fermarsi
Rilasci ordinari: circa 7 secondi
Un aggiornamento ordinario comporta un riavvio di circa 7 secondi, misurato: niente finestre di fermo, niente "torniamo lunedì". Le migrazioni di schema vanno solo in avanti, per scelta: ognuna è applicata dentro la propria transazione, o con istruzioni ripetibili quando la transazione non è tecnicamente possibile, e la rete di sicurezza è il salvataggio precedente, che resta disponibile, più una procedura di rientro scritta per il caso specifico. Un percorso inverso automatico è la parte meno esercitata di una migrazione, e si scopre rotto proprio nel momento in cui serve: preferiamo un rientro più lento e provato.
Finestra solo per gli interventi grossi
Gli interventi strutturali avvengono solo la domenica tra le 02:00 e le 06:00 (Europe/Rome), con preavviso di almeno 5 giorni lavorativi e un tetto di 4 ore al mese, non cumulabili. Una singola finestra che superi le 2 ore smette di essere esclusa dal computo anche se nessuno l'ha chiusa: una manutenzione che non finisce è un guasto. E un fermo non dichiarato conta sempre, anche quando sarebbe stato escludibile.
Mai cambiamenti a sorpresa
Changelog pubblico con versionamento semantico: il numero di versione dice da solo che tipo di cambiamento aspettarsi. I cambiamenti incompatibili non arrivano mai insieme al rilascio, ma annunciati prima sul canale di supporto; la durata minima di quel preavviso è oggi una proposta in attesa di ratifica, e fino ad allora si concorda caso per caso. Le correzioni di sicurezza restano prioritarie anche fuori ciclo. Il come è descritto in Come lavoriamo.
Supervisione continua
L'istanza è osservata anche quando nessuno guarda
Ogni istanza in hosting gestito è seguita da una centrale di monitoraggio esterna, e da una sentinella locale che continua a registrare anche se la centrale è irraggiungibile: al ritorno, i due archivi si riconciliano. Con il limite dichiarato sopra: la sentinella prova che il servizio stava girando, non che fosse raggiungibile da fuori.
- Metriche di funzionamento (latenze, errori, code di elaborazione) campionate in continuo
- Disponibilità misurata al minuto, con le misure conservate 13 mesi
- Freschezza delle copie valutata contro una soglia di età per ciascuna fascia
- Spazio occupato dalle copie controllato periodicamente: una crescita anomala segnala una rotazione inceppata
Vuoi lo SLA completo, nero su bianco?
Il documento con misura, esclusioni, rimedi e obiettivi di ripristino fa parte del pacchetto contrattuale: te lo mandiamo prima che tu firmi qualsiasi cosa.