Se dégrader proprement

Le fournisseur aura des incidents. Les limites de débit se déclencheront au pire moment. La question n'est pas d'éviter la panne mais de décider à l'avance ce qui se passe alors.

La chaîne de repli

Modèle principal, puis modèle secondaire chez un autre fournisseur, puis réponse dégradée mais honnête. Un secondaire chez le même fournisseur ne protège de rien : les incidents sont souvent globaux.

Cela suppose d'avoir abstrait l'appel derrière une interface unique dès le premier jour. Rétrofiter cette abstraction sous pression, pendant un incident, est une expérience qu'il vaut mieux éviter.

Les délais et les tentatives

Un délai maximal explicite, toujours. Une nouvelle tentative avec attente croissante et une part d'aléa, pour ne pas que tous vos clients réessaient à la même seconde et achèvent le service qui se relève.

Et surtout : ne réessayez jamais une action qui a un effet sans clé d'idempotence. Une commande envoyée deux fois est pire qu'une commande non envoyée.

Le disjoncteur

Au-delà d'un seuil d'échecs, cessez d'appeler pendant un temps et servez directement le repli. Continuer à cogner sur un service en difficulté allonge sa panne et la vôtre.

Ce qu'on dit à l'utilisateur

« Une erreur est survenue » est le pire message : il n'apprend rien et ne dit pas quoi faire. Préférez : « Le service d'analyse est momentanément indisponible. Votre document est enregistré, nous le traiterons dès le rétablissement. »

La règle : dire ce qui ne marche pas, ce qui est sauvegardé, et ce qui va se passer. Trois informations, et la plainte n'arrive pas.