La fenêtre d'entretien sautée est la mise à niveau impossible plus tard

L'affirmation

Reporter les mises à jour logicielles de routine parce que le système fonctionne et qu'une mise à jour pourrait le perturber semble le choix sûr et prudent, et c'est l'inverse. Les mises à jour ne cessent pas d'être nécessaires quand vous les sautez ; elles s'accumulent, et un système en retard de nombreuses versions ne peut plus être mis à jour en une seule étape sûre — la petite mise à jour à faible risque que vous avez sautée devient une grande migration à haut risque que vous ne pouvez plus éviter, entreprise sous contrainte quand une faille de sécurité ou une défaillance finit par la forcer. L'entretien que vous reportez n'est pas annulé ; il est converti en une pire version de lui-même, planifié par les circonstances au lieu de vous.

Pourquoi « ça marche, n'y touchez pas » se compose contre vous

L'instinct est compréhensible : le système tourne, une mise à jour introduit du changement, donc ne pas mettre à jour semble éviter le risque. Mais le risque ne disparaît pas en étant ignoré — il se déplace et grandit. Chaque saut est une version de distance entre où vous êtes et où vivent les correctifs de sécurité et la compatibilité. Cette distance se compose, car les mises à jour s'appuient les unes sur les autres, et après assez de sauts, le chemin vers une version courante n'est plus une seule étape propre mais une chaîne de nombreux changements à franchir d'un coup, chacun avec ses propres changements cassants.

Le choix n'est donc jamais « mettre à jour maintenant, avec risque » contre « ne pas mettre à jour, sans risque ». C'est « une petite mise à jour contrôlée maintenant » contre « une grande mise à jour forcée plus tard », et celle de plus tard est plus risquée à toute dimension : plus de changements à la fois, moins de mémoire de la configuration d'origine, et le moment choisi par une urgence plutôt que par vous.

Les trois coûts du retard

Un système en retard de nombreuses versions porte trois coûts précis et croissants :

• Des failles de sécurité non corrigées. Les mises à jour sont la façon dont les vulnérabilités sont corrigées, et un système en retard de nombreuses versions est exposé à chaque vulnérabilité publiquement connue corrigée dans les versions que vous avez sautées — des vulnérabilités documentées, que les attaquants recherchent précisément, justement parce que tant de systèmes n'ont pas appliqué le correctif.
• La mise à niveau qui devient impossible. Éventuellement, une dépendance dont vous avez besoin — une nouvelle bibliothèque, un correctif de sécurité, une intégration requise — ne tournera pas sur votre fondation dépassée, et vous ne pouvez l'obtenir sans d'abord effectuer l'énorme mise à niveau reportée, sur une échéance que vous n'avez pas fixée.
• Le soutien perdu. Les vieilles versions cessent entièrement de recevoir soutien et correctifs une fois arrivées en fin de vie, moment où un problème n'a aucune solution officielle et où vous êtes seul avec un logiciel que les mainteneurs ont abandonné.

Petit et régulier bat grand et rare

L'alternative est une routine : appliquer les mises à jour par petits incréments à une cadence régulière, pour n'être jamais loin du courant. Une mise à jour mineure appliquée promptement est un changement à faible risque — un petit écart, bien testé, facile à vérifier et à annuler. Dix mises à jour d'un coup, après deux ans de report, est un changement à haut risque, car les écarts se sont combinés en quelque chose de grand et d'interagissant, difficile à tester et à renverser. La même quantité de changement est bien plus sûre livrée en petits morceaux fréquents qu'en un seul gros morceau rare.

Cadence, pas heroisme :
- correctifs de securite : appliques promptement, sur un cycle court
- mises a jour mineures : mensuelles ou similaires, testees puis appliquees
- mises a niveau majeures : planifiees a dessein, une a la fois, jamais sautees
  au point que deux majeures doivent etre franchies a la fois

Rendez la mise à jour sûre à appliquer

La mise à jour régulière n'est soutenable que si appliquer une mise à jour est sans drame, et les pratiques qui la rendent telle sont celles où investir d'abord. Un environnement de préproduction qui correspond à la production vous laisse appliquer et tester une mise à jour avant qu'elle ne touche les clients. Un retour arrière rapide et testé signifie qu'une mise à jour qui se comporte mal est annulée en minutes plutôt que de devenir un incident. Des tests automatisés vous donnent la confiance que la mise à jour n'a pas cassé les choses qui comptent. Avec cela en place, appliquer une mise à jour cesse d'être un événement anxieux et devient routinier — et c'est le caractère routinier qui vous garde à jour, car une mise à jour sûre et rapide à appliquer est une que vous appliquerez réellement à l'horaire plutôt que de la reporter par crainte.

La fenêtre d'entretien est le mécanisme

Une fenêtre d'entretien régulière et planifiée — un moment prévisible réservé à l'application des mises à jour — est ce qui transforme la mise à jour, d'une chose à laquelle vous arrivez quand vous le pouvez en une chose qui arrive de façon fiable. Communiquée aux clients d'avance, une brève fenêtre planifiée est comprise et pardonnée ; c'est la panne d'urgence non planifiée, forcée par la défaillance qu'ont causée les mises à jour sautées, que les clients ressentent vraiment. L'entreprise qui prend régulièrement une courte fenêtre d'entretien annoncée échange une petite interruption contrôlée et prévisible contre l'évitement d'une grande, incontrôlée et imprévisible — ce qui est le même marché que les mises à jour elles-mêmes, rendu visible au calendrier.

Quoi faire

Découvrez à quel point vos systèmes importants sont réellement en retard, car la réponse est souvent pire que prévu — la chose qui tourne intacte depuis trois ans est en retard de trois ans sur les correctifs de sécurité. Puis, plutôt que de tenter de combler tout l'écart d'un coup, établissez la cadence à venir : une fenêtre régulière, des correctifs de sécurité appliqués promptement, des mises à jour mineures à l'horaire, et les pratiques de préproduction et de retour arrière qui rendent chacune sûre. Les mises à jour reportées déjà accumulées doivent être résorbées à dessein, mais le changement le plus important est d'arrêter l'accumulation, car chaque mise à jour que vous appliquez à l'horaire désormais est une qui n'a jamais la chance de se combiner aux autres en la migration forcée à haut risque que l'entretien sauté finit toujours par devenir.