Promoción entre entornos con aprobación

La evaluación de seguridad de preproducción dice algo sobre unos bytes concretos. Si al pasar a producción se vuelve a construir el artefacto —para usar otras librerías, otra imagen base u otra configuración—, lo que llega a los clientes es otro artefacto, con otra huella, que nadie evaluó. La regla sana es promover el mismo artefacto, identificado por su huella, y anotar en cada salto la huella evaluada y la desplegada para poder compararlas.

Comparar las dos columnas de huella es la comprobación más barata y más útil de un registro de promociones. Una diferencia no prueba que haya mala intención: a menudo es un equipo que «solo» actualizó librerías al desplegar. Pero sí prueba que lo que corre en producción no es lo que se aprobó.

La separación de funciones existe para que una sola persona no pueda llevar un cambio de principio a fin sin que otra lo mire. En una cadena de entrega de modelos, eso significa que quien registra una versión no puede ser una de las aprobaciones de su promoción: su aprobación no añade un segundo par de ojos, solo repite el primero.

Una promoción a producción cumple la política solo si pasa todas sus reglas a la vez: misma huella, verificación y evaluación aprobadas, dos aprobaciones (dueño y riesgo de modelos) y ninguna de quien registró. Las promociones que no van a producción no entran en la cuenta.

Que el dueño del modelo apruebe es necesario: conoce el producto y sabe qué cambió. Pero el dueño quiere que su modelo salga; la aprobación de riesgo de modelos está para mirar la evaluación y la cadena de entrega con otros intereses. Una promoción con una sola firma, aunque sea la del dueño, deja la decisión a quien tiene más incentivo para decir que sí.