Песочницы для экспериментов

(Раздел: Операции и Управление)

1) Назначение и принципы

Песочница — это изолированная среда для безопасного проведения экспериментов (фичи, конфиги, модели, процессы) без риска для прод-сервиса, денег и персональных данных.

• Изоляция по умолчанию: сети, данные, секреты, биллинг.
• Воспроизводимость: фикстуры/сидирование, версии артефактов, детерминированные пайплайны.
• Этика и безопасность: защита PII, guardrails и SoD.
• Наблюдаемость: метрики/логи/трейсы как в проде, но с пометкой среды.
• Эффективность: быстрый подъем/снос (ephemeral), кап на стоимость.

2) Таксономия песочниц

Dev Sandbox: локальная разработка + тестовые ключи; минимальные данные.
Feature Sandbox (Preview): окружение на ветку/PR с собственным URL, статическими фикстурами.
Integration Sandbox: полнофункциональный стенд с тестовыми внешними интеграциями (PSP/KYC/провайдеры контента).
Data Science/ML Sandbox: доступ к анонимизированным срезам, эксперимент-трекер, регистры моделей/фич.
Chaos/Resilience Sandbox: инъекции отказов, замедлений, лимитов.
Partner Sandbox: изолированная витрина и API для внешних партнеров/тенантов с тестовыми сертификатами.

3) Архитектура и изоляция

Сетевые периметры: отдельные VPC/NSG, закрытые подсети, egress через шлюзы с allow-list.
Идентичности и доступы: отдельные IdP-группы/роли для sandbox, JIT-права с коротким TTL.
Секреты: отдельные хранилища/неймспейсы в Vault/KMS; запрет shared-секретов с prod.
Данные: «зоны доверия» (public → synthetic → anonymized → masked replica). Прямой доступ к prod-PII запрещен.
Артефакты: реестр образов/пакетов/конфигов с подписанными релизами (DSSE), семантическое версионирование.

4) Данные для экспериментов

Синтетические (генеративные профили, распределения близкие к боевым).
Анонимизированные (маскирование/токенизация, k-анонимность, дифф-приватность для агрегатов).
Фикстуры (готовые кейсы: «выплата > лимита», «невалидный KYC», «спор аффилиата»).
Сиды/сценарии: детерминированные генераторы с `seed_id`, каталог edge-кейсов.
Правила свежести/TTL: срок жизни наборов, запрет на эксфильтрацию.

5) Ephemeral-окружения

Автоматический подъем среды на PR/ветку (IaC), выделенные домены/сертификаты.
Автоснос по TTL/мерджу; лимиты на CPU/RAM/egress, квоты хранилища.
Автопрогрев фикстур/сидов; статус-панель для QA/продукта/партнеров.
Подписанные снапшоты окружения для воспроизводимости багов.

6) Эксперименты: типы и методики

A/B/n и feature-flags: процентные раскатки, таргетинг по сегментам/регионам.
Shadow-трафик: копия реальных запросов в песочницу без побочных эффектов (write-drop).
Canary/Blue-Green: малый процент реального трафика на экспериментальный маршрут.
Chaos-инъекции: задержки, ошибки, отказ зависимости, «короткие» таймауты.
Датадрифт/модели: backtesting, offline-метрики, online-guardrails.

7) Guardrails и этика

Политики-как-код: OPA/ABAC — где/каким данным можно пользоваться.
Guardrails экспериментов: пределы латентности, error-rate, лимиты выплат/егресса, запрет на манипулятивные UX-паттерны.
SoD: «запускает эксперимент» ≠ «утверждает» ≠ «анализирует и принимает решение».
Этика: прозрачность для затронутых пользователей (там, где уместно), уважение к уязвимым группам.

8) Наблюдаемость и метрики

Трейсы/метрики/логи с тегами: `{environment=sandbox, experiment_id, variant, seed_id}`.
SLI: доступность, p95, error-rate, корректность расчетов, совпадение quote↔checkout.
Experiment KPIs: конверсия, удержание, жалобы, стоимость/1k, egress.
Guardrails: негативные сигналы (рост фрода/чарджбеков, RG-срабатывания) — мгновенная остановка.

9) Стоимость и FinOps

Квоты CPU/RAM/egress per-sandbox; бюджеты/кап-алерты 80/90/100%.
Downsampling и срок хранения метрик/логов; артефакты — в дешевые слои после T+N дней.
«Кнопка экономии»: остановить неактивные песочницы, автоархив снапшотов.

10) Реестр экспериментов и воспроизводимость

Experiment Registry: `{id, гипотеза, владелец, дизайн, дата, метрики, guardrails, артефакты, решения}`.
Автогенерация протокола: таймлайн, версии артефактов, семплы данных, скриншоты/трейсы.
Ссылки на PR/тикеты/дашборды; статусы «planned/running/frozen/closed».

11) Безопасность и комплаенс

Раздельные роли и ключи; MFA/FIDO2 для админ-панелей.
PII — только synthetic/masked; запрос на доступ к агрегатам — через одобрение владельца данных.
Вебхуки: тестовые endpoints с подписью/TTL/nonce; запрет отправки в прод.
WORM-журналы для критичных экспериментов (финансы/ответственная игра).
Региональные ограничения (локализация данных/ключей) соблюдаются и в песочницах.

12) Интеграции с внешними провайдерами

Тестовые аккаунты/сертификаты PSP, KYC, провайдеров контента.
Маркер среды в заголовках/метаданных (`X-Sandbox: true`), отдельные лимиты и отчетность.
Имитации ответов (simulators) с управляемой латентностью/ошибками.

13) Процессы и RACI

14) SLO песочниц

Время подъема ephemeral-среды ≤ 10 минут (p95).
Доступность core-сервисов в Integration Sandbox ≥ 99.5%.
Совпадение схем/контрактов с продом: 100% (валидация на CI).
Полнота артефактов эксперимента (протокол/версии/метрики) = 100%.
Стоимость sandbox на единицу времени ≤ N (по бюджету).

15) Типовые плейбуки

Shadow-трафик дает ошибки: отключить запись, включить write-drop, увеличить таймауты симуляторов.
Расхождение цен (quote≠checkout): сверка `fx_version/tax_rule_version`, инвалидация кэша, фикса в каталоге.
Всплеск egress: включить компрессию, урезать уровень логирования, пересчитать квоты.
Сбой провайдера: переключить симулятор/резервного провайдера, зафиксировать латентность.
PII-флаг: немедленная изоляция песочницы, удаление артефактов, уведомление Privacy/Legal.

16) Специфика iGaming/финтех

RTP & Limits: только synthetic/симуляции, никакого реального расчета выплат; guardrails на экспозицию.
Платежи/PSP: тестовые мерчанты, карантин «серых» транзакций, ручной клиринг в симулятор.
Аффилиаты/вебхуки: тестовые подписи, эскроу-логика в sandbox, сверки квитанций.
Ответственная игра: симуляторы RG-событий, проверка UX-сообщений и лимитов.

17) Чек-лист внедрения

• Описать уровни песочниц и зону ответственности (Dev/Preview/Integration/ML/Chaos/Partner).
• Развернуть IaC-шаблоны для ephemeral окружений (автоподъем по PR).
• Настроить идентичности/секреты/сети: полная изоляция от prod.
• Создать каталоги фикстур/сидов и синтетических датасетов; ввести TTL.
• Подключить наблюдаемость и теги экспериментов; завести guardrails и алерты.
• Включить Experiment Registry и шаблоны протоколов.
• Настроить тестовые контуры внешних провайдеров и симуляторы.
• Ввести квоты/бюджеты и FinOps-дашборд.
• Регламенты этики/комплаенса (PII, уведомления, SoD).
• Провести GameDay: утечка тестовых ключей, всплеск еgress, сбой PSP-симулятора.

18) FAQ

Можно ли использовать «обезличенный прод»?
Только после строгой анонимизации/маски и с отдельным периметром; предпочтительны синтетические данные.

Нужны ли отдельные домены/сертификаты?
Да, чтобы исключить пересечения с продом и упростить политику безопасности.

Как быстро закрывать песочницы, чтобы не рос счет?
TTL, авто-снос по мерджу/неактивности, алерты по бюджету, «кнопка экономии».

Чем отличается Preview от Integration?
Preview — для фичи/PR, фиксированные фикстуры; Integration — полнофункциональный стенд с тестовыми провайдерами.

Резюме: Песочницы — это управляемая инфраструктура для безопасных и честных экспериментов. Изолируйте сети/данные/секреты, используйте синтетические наборы, поднимайте ephemeral-окружения по PR, включайте наблюдаемость и guardrails, ведите реестр экспериментов и контролируйте стоимость. Так вы ускорите инновации без риска для прод-бизнеса, игроков и комплаенса.