Escribir una política y comprobar que muerde

Una política de infraestructura recibe el plan en formato estructurado y devuelve las denegaciones. Para saber que funciona hay que probarla con casos que deben denegarse y con casos que deben permitirse, y con las formas distintas en que el mismo daño puede llegar: crear un recurso nuevo, modificar uno existente, reemplazarlo. Una prueba que solo comprueba el caso que el autor tenía en la cabeza demuestra que la política hace lo que su autor imaginó, no que cubra el riesgo.

Las pruebas de una política son su especificación: lo que no está probado puede romperse sin que nadie se entere.

La política de red de Guayacán rechaza reglas de entrada abiertas a todo internet en los puertos de las bases de datos. Las seis pruebas pasan. Aun así, la propuesta PR-91 deja una base de datos abierta a todo internet y el resultado de políticas sale en verde. Lee la política y lee el plan de la propuesta: el hueco está en la diferencia entre lo que la política mira y lo que el plan hace.

El hueco se cierra en dos pasos que van juntos: la política debe considerar también las modificaciones, y el conjunto de pruebas debe incluir un caso de modificación que deba denegarse. Sin la prueba, el hueco se puede reabrir en la próxima edición. Cambiar la regla sin escribir la prueba es arreglar una vez; escribir las dos es dejar la memoria del error en el repositorio.

Cada política tiene un modo: la que deniega frena la fusión; la que advierte comenta y deja pasar. Es una decisión legítima mientras una regla es nueva y se mide su precisión (lo viste con el análisis estático), pero cada política en advertencia es un riesgo que alguien eligió aceptar. Una revisión debe saber cuáles son, porque no aparecen como fallo sino como un comentario que nadie lee.

Una política restringe a quien escribe la infraestructura. Si el mismo equipo que escribe la infraestructura puede aprobar un cambio a la política, la regla está en manos del restringido: una edición de una línea y deja de morder. Por eso las políticas suelen tener un dueño distinto del de la infraestructura, que sea quien apruebe su cambio. El archivo de dueños del repositorio dice quién aprueba qué.