Revisión de diseño antes del código

El costo de cambiar una decisión de diseño crece con cada semana de código construido sobre ella: cambiar una línea del documento cuesta una conversación; cambiar un flujo ya desplegado cuesta migraciones, coordinación con terceros y, a veces, una nota pública. Por eso la revisión de diseño ocurre mientras el diseño todavía es un documento.

Una buena revisión pregunta cuatro cosas: qué se protege, dónde están las fronteras de confianza, qué se supone sin haberlo comprobado y qué decisiones previas de la empresa se contradicen. No decide cómo se programa; decide qué riesgos acepta el diseño y quién los firma.

Una frontera de confianza es un punto donde los datos pasan de un dominio de control a otro: de la red de servicios a internet, de Guacamaya a un tercero. En cada cruce hay que preguntar quién es el otro lado y cómo lo sabe cada parte. Un cruce sin autenticación en uno de los dos sentidos deja que cualquiera haga pasar su mensaje por legítimo.

Abre diseno/propuesta.txt: cada flujo tiene origen, destino, dato, canal, autenticación y si cruza una frontera. Busca el flujo que cruza hacia fuera sin autenticación alguna.

Todo diseño descansa en suposiciones. Las peligrosas no son las que se pueden comprobar: son las que nadie comprueba y cuyo fallo causa un daño grande. En diseno/supuestos.txt cada suposición trae la evidencia que la respalda y el impacto si falla. Sin evidencia, una suposición es una esperanza; con impacto alto, es la primera de la lista de la reunión.

Una empresa decide algunas cosas una sola vez y las registra: son los registros de decisiones de arquitectura. Un diseño nuevo puede cumplirlas, cambiarlas con una decisión nueva y razonada o, lo peor, contradecirlas por desconocimiento. Detectar lo último es una de las tareas más valiosas de la revisión, porque las decisiones registradas suelen existir por una razón que alguien ya pagó.

Compara diseno/propuesta.txt con adr/registro.txt, solo con las decisiones vigentes.

La revisión de diseño no puede ser igual de pesada para todo, o el arquitecto se convierte en cuello de botella. Guacamaya tiene tres niveles según el riesgo de la propuesta. El nivel lo fijan criterios objetivos, no la opinión de nadie: si se cumple cualquiera de los criterios del nivel más alto, ese es el nivel. politica/niveles-de-revision.txt los describe.