上一篇文章发出去之后，我照例去验一下它有没有上线。
命令我敲得很熟：curl 一下文章地址，等一个 200。那天返回的是 404。
我第一反应是构建失败了。去看 GitHub Actions，绿色的 completed / success。再刷新，还是 404。
那一刻我脑子里冒出的念头很荒唐，但也很真实：是不是我记错地址了。
后来发现，”我记错地址了”这件事，整个系统都跟我一起做
我们的博客挂在 GitHub Pages 上，用了一个自己买的域名。域名是几年前注册的，正常情况下每年续一次，没什么存在感。
问题是，这次没人记得它到点了。
而真正让我坐直的不是”域名到期”这四个字 —— 这种事谁都会遇到，忘了交电费、忘了换护照、忘了给车做年检，都是同一族的。真正让我坐直的是接下来查出来的东西：
我们的仓库里，有一份 CNAME 文件。出事当天中午，它已经被改成了新域名。
也就是说 —— 站点早就已经上线了，是”验证”一直在测错的那个地址。
不是网站坏了。是用来判断”网站好不好”的那把尺子，本身坏掉了。
为什么五天都没人发现
这里得停下来解释一下，因为这是整件事里唯一值得写下来的部分。
我们这边跑着一堆定时任务。每天凌晨，它们自己醒过来，自己干活，自己落盘。其中就有跟这个站点相关的检查。
它们全都在正常跑。日志干净，退出码是 0，没有一条报错。
它们测的是什么？ 是那篇文章有没有被 git 提交，是构建有没有成功，是图片有没有上传。这些检查每一项都跑得通 —— 因为它们全都在我们自己的机器上、我们自己的仓库里、我们自己的阿里云 bucket 里。
它们一次都没有走出去过。
而坏掉的那个东西 —— 域名 —— 恰好就是”走出去”那一层。域名、DNS、证书、备案、CDN 加速套餐、邮箱服务，这些东西有个共同特征：
它们不属于你的系统。它们是你的系统通往世界的那个出口。而出口坏掉的时候，你系统内部的一切指标都完美无缺。
这就是那五天。系统每天自愿地、勤恳地、准时地，替我把坏消息瞒了下来。
我一开始以为这是个”忘了续费”的糗事
按常规剧本，这事到这儿就该收尾了：补上钱、恢复域名、写一条教训——”记得设置自动续费”。
但我越想越觉得不对。
因为自动续费也救不了我们。真正的问题不是”忘了交钱”，而是整个体系里，没有任何一个环节的职责是”从外面看一眼”。
我们所有的助手、脚本、监控，都站在屋里。它们能看见仪表盘、能看见库存、能看见流水线。它们看不见门牌号。
打个比方：一个厨师可以完美掌握火候、刀工、食材新鲜度，他有二十个仪表盯着厨房里的每一件事。但如果餐厅门口的路牌被人摘了，没有一位客人找得到这里 —— 而他的仪表盘上，一个数字都不会变。
他唯一能发现这件事的方式，是有一天他自己走到马路对面，回头看一眼。
于是我们做了一件很笨的事
修复方案朴素得有点不好意思：我们在千里之外的一台机器上，加了一个探针。
它不检查我们的仓库，不检查我们的构建，不检查我们的图片。它只做一件事：打开一个公开网址，问一句”你在吗”。
如果这句问话收不到回应，它就报警。
有人可能会说，这不是最基础的可用性监控吗 —— 对啊，就是。我们缺的不是技术，是位置。
关键不在于是不是”更先进”，而在于这个探针的依赖清单：它不依赖我们的服务器活着，不依赖我们的域名解析正常，不依赖我们的证书没过期。它唯一依赖的，是”外面有人能访问到我们”这件事本身。
而在我们原来的体系里，几乎每一个检查项，都以”域名解析正常”为隐藏前提。 前提塌了，检查项自己不知道。
一个检查项如果依赖于它要检查的那个东西，那它其实什么都没检查。
这件事的真正形态，比域名大得多
我把这次教训往回套了一遍，发现它到处都是：
- 一个客户的公司，ERP 系统运行完美，报表每天准时出。但它的支付通道被风控悄悄降级了 —— 系统里所有订单都显示”已支付”，因为系统里看的是订单状态，不是”钱到账了没有”。
- 一个电商店铺，后台一切正常，流量曲线平稳。但它的商品页在搜索结果里的排名，三个月前就掉没了 —— 后台看的是”有人进来了吗”，不是”还有人找得到你吗”。
- 一个内容团队，周报上写着”本周产出 42 篇”。但那 42 篇是草稿数量，不是发布数量，甚至不是有人看过的数量。
- 我自己的这次 —— 所有检查都在跑，只是它们全都在屋里。
这些东西看着五花八门，其实是同一件事：
你的系统在衡量”我的内部有没有按计划运转”，而你真正需要的是”我在外部世界还存不存在”。
这两者之间有一道缝。而所有最难查的故障，都住在那道缝里。
为什么”加更多监控”治不好它
这里我要说一句可能不太受欢迎的话：加监控解决不了这个问题。
因为你在屋里加的那些仪表，每一个都还需要挂在同一面墙上。墙塌的时候，它们一起瞎。我们做的那个”探针”，本质上不是”更多的监控”，而是把墙换到别人家去。
所以真正的判据不是”我监控了几个指标”，而是这个问句：
这些指标里，有哪一个是”即使我这边全死了，它也还能说话”的？
如果答案是”没有” —— 那你的监控系统不是安全网，它是一个仪表盘。仪表盘能告诉你车开得多稳，但它永远不会告诉你，这辆车已经不在路上跑了。
三件事，你可以直接拿去用
一、给你的关键资产，做一次”出口清单”。
把属于你系统、但不在你系统里的东西列出来：域名、证书、API 密钥、第三方账号、云服务订阅、支付通道、企业邮箱。这些东西的共同点是：它们在正常日子里完全不产生噪音，所以没有人对它们负责。列出来之后，每个都分配一个”什么时候会到期”和”谁会发现”。
二、找一个”从外面看”的探针，而且它的依赖越少越好。
一台不相关的机器、一个公开的拨测服务、甚至你手机上的一个定时提醒——形式不重要，重要的是：它的判断不能经过你被测的那套东西。 一个从内部测自己的探针，测的是体温；从外面测，测的才是脉搏。
三、问一遍你的每个指标，它到底在测”谁”。
把这个问句套在你手上任何一个自动化流程上：它统计的是你想要的结果，还是这个系统自己的活动？任务执行次数、报告生成量、接口成功率，这些全都是”系统在动”。”有人因此得到他想要的东西了吗”——这才叫”事情在成”。
域名已经补回来了。这次的教训我写在最前面：
那次 404 不是故障报告，它是一封信 —— 一封从外面寄来的、告诉我”你在外面已经不在很久了”的信。
我们后来把那个外面的探针留下来了。它每五分钟问一次”你在吗”，绝大多数时候它什么都不说，就安安静静地待着。
我希望它一直这么无聊。
