Votre budget est un détecteur de fumée, pas un sprinkler

Vous fixez un budget de 500 $. Vous recevez un e-mail à 80 %. Vous en recevez un autre à 100 %. Si les choses tournent mal, vous en recevez un à 200 %, puis à 400 %.

Les machines ne s’arrêtent jamais.

Le budget a parfaitement fait son travail. Son travail, c’était de vous prévenir.

Un budget est un observateur

Lisez la documentation de près et vous remarquerez avec quel soin elle est formulée. Alertes. Seuils. Notifications. Prévisions. Nulle part là-dedans ne figure le mot stop.

Un budget cloud est un produit de monitoring qui porte le nom d’un produit financier. Il regarde un chiffre monter et il vous le signale. Si vous avez le malheur de dormir, il le signale à votre boîte de réception.

Ce n’est pas un oubli, et ce n’est pas vraiment de la malveillance non plus. Ça découle directement de la facturation postpayée. Vous consommez d’abord et payez ensuite, ce qui signifie qu’au moment de la consommation, il n’y a rien à refuser — l’argent n’est pas encore dans le système. Il n’y a pas de solde à épuiser. Le compteur tourne, tout simplement, et la facture arrive après coup pour décrire ce qui s’est passé.

Et toutes les incitations de cet arrangement pointent à l’opposé d’un arrêt ferme. Un fournisseur qui stoppe votre charge de production pour vous faire économiser de l’argent se retrouve à expliquer une panne à un client furieux. Un fournisseur qui la laisse tourner se retrouve à expliquer une facture — à un client qui, arrivé là, doit déjà l’argent.

Entre ces deux conversations, vous pouvez prédire quel produit a été construit.

Personne ne décide de dépenser 70 000 $

La dépense qui s’emballe n’est jamais une décision. C’est toujours une boucle.

• Une tempête de retries sans backoff, qui martèle une API au compteur quelques milliers de fois par seconde.
• Un autoscaler dont quelqu’un a réglé le plafond sur un chiffre qui semblait « assez haut pour être tranquille ».
• Une clé poussée dans un dépôt public le vendredi, et l’opération de minage de quelqu’un d’autre qui tourne sur votre compte dès le samedi.
• Un job batch qui n’était censé tourner qu’une seule fois.

Chacun de ces cas coûte trois fois rien à la seconde. C’est exactement pour ça que rien ne les attrape. Le seuil est franchi quelque part vers la quatrième minute, une alerte atterrit dans une boîte de réception à 3 h du matin un samedi, et le compteur tourne encore quarante heures pendant que la personne qui aurait pu l’arrêter dort — sans entendre la notification censée la sauver.

L’alerte n’était pas fausse. Elle n’a simplement jamais été porteuse.

À quoi ressemble un vrai plafond

Une limite de dépense qui limite réellement la dépense doit être structurelle, pas consultative. Ça ne peut pas être un seuil qui déclenche un message ; il faut un mur dans lequel le compteur vient buter et qu’il ne peut pas creuser.

Il n’en existe vraiment qu’une seule version honnête :

Vous ne pouvez pas dépenser un argent que vous n’avez pas déjà versé.

Prépayé. Le solde est le plafond. Pas un chiffre tapé dans un formulaire qui génère des e-mails — un plancher sous le compteur.

Ce que nous faisons à la place

Deux choses, et nous allons être francs sur laquelle est laquelle.

Nous avons des budgets. Ils envoient des e-mails. C’est un détecteur de fumée, exactement comme chez tout le monde, et nous n’allons pas nous tenir ici, sur un blog qui vous répète de lire les petits caractères, et prétendre que les nôtres sont magiques.

Le sprinkler, c’est le solde. Kaligon est prépayé : vous rechargez, et l’usage à la seconde puise dans ce qui est réellement là. Quand il devient bas, nous vous prévenons. Quand il est épuisé, vos machines sont suspendues — pas supprimées en silence — et vous disposez d’un délai de grâce pour recharger avant que quoi que ce soit ne soit détruit. Une suspension se récupère en un clic. Une facture de 70 000 $ ne se récupère pas du tout.

Votre pire scénario est donc borné par un chiffre que vous avez déjà choisi, à l’avance, en déplaçant de l’argent — plutôt que par un seuil que vous avez configuré et un e-mail raté dans votre sommeil.

L’avertissement honnête, parce que nous préférons que vous le teniez de nous : la passe de contrôle qui applique la règle tourne en continu, mais pas infiniment vite ; dans un véritable emballement, le solde peut donc passer légèrement sous zéro dans les secondes qui précèdent la suspension. C’est borné, et c’est petit. Ce n’est pas la surprise à quatre chiffres que la facturation postpayée peut vous tendre, et ce n’est pas un chiffre que vous aurez à négocier avec qui que ce soit.

C’est là tout le truc, et ce n’est pas vraiment un truc. C’est juste refuser de vous facturer un argent que vous ne nous avez jamais donné.

Gardez vos alertes. Elles sont réellement utiles.

Mais si votre limite de dépense exige que vous vous réveilliez pour intervenir en personne, ce n’est pas une limite.

C’est une notification avec un très bon marketing.