Felaket kurtarma planının en yaygın iki hali vardır: hiç yazılmamış olması ya da yazılıp hiç denenmemiş olması. İkinci hali, sahte bir güven verir — belgeler doludur, diyagramlar güzeldir; ama gerçek bir kesinti anında belge ile gerçeklik arasındaki fark ancak prova edilerek görünür. O yüzden yedek altyapı için de bir "tatil" planlanır: üretimden izole edilmiş bir gün, senaryoyu baştan sona canlı çalıştırmak.

Prova, kopya değil inşadır

Yedek altyapının var olması yetmez; sıfırdan ayağa kalkabildiği kanıtlanmalıdır. Prova bu yüzden kopyalama değil inşa egzersizidir: yedekleme depolarından bir ortam kurulur, veritabanı gerçek yedekten geri yüklenir, uygulama bu veriyle ayağa kaldırılır, trafik test istemcileriyle yönlendirilir. Her adımın süresi ölçülür — kurtarma süresi hedefi (RTO) ancak bu ölçümle somutlaşır. İlk provada çıkan klasik sürprizler hep aynıdır: yedekten eksik çıkan bir veritabanı kullanıcısı, environment dosyasında taahhüt edilen ama belgelenmemiş değerler, sertifikaların yedek dışında kalmış olması.

# Prova gününün tipik akışı — her adım zaman damgasıyla kayda geçer
T0="2026-06-28T09:00"
restic restore latest --target /tmp/prova/        # veri geri yükleme
pg_restore -h localhost -U kurtarma -d gazete /tmp/prova/db.dump
systemctl start gazete-web                        # servis ayağa kaldırma
curl -fsS http://localhost:3000/saglik            # sağlık denetimi

RTO ve RPO: iki sayı, iki soru

İki soru provadan önce cevaplanmalıdır: ne kadar sürede ayakta olacağız (RTO) ve en son ne kadar veri kaybetmeyi kabul ediyoruz (RPO). Prova bu iki sayının gerçek olup olmadığını test eder. Kağıt üzerinde 30 dakikalık RTO, ilk provada dört saat çıktığında ekip ya hedefi aşağı çeker ya da otomasyona yatırım yapar — her ikisi de değerli bir karardır. RPO tarafında ise yedek sıklığı ile veri kaybı arasındaki bağıntı prova günü elle görünür: 24 saatte bir yedek alan sistemde gün içi veri yok olmuş sayılır.

Prova sonrası: belgeyi güncelleyen üç soru

Prova bittiğinde üç soru sorulur: hangi adım beklenenden uzun sürdü, hangi adım belgede yok, hangi adım yalnız tek kişinin bildiği bir bilgiye dayandı? Cevaplar runbook'a işlenir; prova sırasında keşfedilen her boşluk, gerçek felaket gününde kapatılamayacak bir kapıdır. Prova bir kez değil, periyodik yapılmalı — çeyreklik takvim uygundur; her yeni servis eklendiğinde de senaryoya o servis de girer.

Yedek altyapı tatili, günübirlik işlerden bir gün ayrılıp felaketin provasını yapmak demektir; kulağa abartılı gelir ama gerçek felaket gününde tek farkı budur: o gün prova yapılmamış ekibin saatleri, prova yapılmış ekibin dakikaları alır.

Provaların sessiz bir de kazancı vardır: güven. Bir kez baştan kurulan sistemin kurtarma adımlarını ekip ezberden değil, belgeden takip etse bile hızla uygular; çünkü belgenin doğru olduğunu görmüştür. Güvenin bu türü pazarlıkla gelmez, yalnız provayla gelir. Yedek altyapınız için tatil günü seçmekte geç kalmayın — seçmediğinizde tarihi, onun yerine felaket belirler.

Provaların sessiz bir de kazancı vardır: güven. Bir kez baştan kurulan sistemin kurtarma adımlarını ekip ezberden değil, belgeden takip etse bile hızla uygular; çünkü belgenin doğru olduğunu görmüştür. Güvenin bu türü pazarlıkla gelmez, yalnız provayla gelir. Yedek altyapınız için tatil günü seçmekta geç kalmayın — seçmediğinizde tarihi, onun yerine felaket belirler.