Production Readiness Checklist (Technical, Database, Performance & Security)

เช็กลิสต์เชิงเทคนิคสำหรับตรวจสอบความพร้อมรอบด้านก่อนตัดระบบขึ้นสภาพแวดล้อมจริง (Production Environment) เพื่อป้องกัน Downtime, ข้อมูลรั่วไหล หรือปัญหาคอขวดด้านประสิทธิภาพ

1. Technical & Architecture Readiness

• [ ] Environment Configuration & Secrets Isolation
  • แยก Environment Variables (.env, Config Maps) ออกจากโค้ดชัดเจน
  • ปิดโหมด Debug (DEBUG=False, display_errors=off) และปิด Verbose stack trace ในหน้าแสดงผลผู้ใช้ทั้งหมด
  • ไม่มี API Key, รหัสผ่าน หรือ Private Key ถูกฮาร์ดโค้ดหลุดเข้าไปใน Version Control
• [ ] Build & Deployment Pipeline
  • ทำ Automated CI/CD ผ่านทุก Pipeline (Unit Tests, Integration Tests, Linting)
  • มีแผนการ Deploy แบบกระทบน้อย (Blue-Green หรือ Rolling Update)
  • เตรียมขั้นตอน Rollback Plan ไว้อย่างชัดเจน พร้อมทดสอบคำสั่งย้อนเวอร์ชัน
• [ ] Logging & Observability
  • ตั้งค่า Centralized Logging (เช่น OpenTelemetry, ELK, Grafana Loki) พร้อมแยก Log Level (INFO, WARN, ERROR)
  • มี Crash Reporting / APM (เช่น Sentry, Datadog) เพื่อแจ้งเตือนข้อผิดพลาดแบบเรียลไทม์
  • ทำ Health Check Endpoints (/healthz, /readyz, /livez) สำหรับ Load Balancer และ Orchestrator
• [ ] Infrastructure & Networking
  • กำหนด Resource Limits/Requests ชัดเจน (CPU, Memory limits ต่อ Container/Service)
  • เซ็ต Reverse Proxy / Web Server พร้อมเปิดใช้ HTTP/2 หรือ HTTP/3, Keep-Alive, และตั้งค่า Timeout ที่เหมาะสม
  • ตั้งค่า CORS Policy ให้เฉพาะเจาะจงกับ Origin ที่อนุญาต ไม่เปิด Wildcard (*) สำหรับ Private APIs

2. Database & Data Integrity

• [ ] Schema Migration & Backward Compatibility
  • สคริปต์ Migration ผ่านการทดสอบบน Staging ที่มีข้อมูลใกล้เคียง Production
  • รองรับ Zero-downtime Migration (หลีกเลี่ยงการล็อกตารางยาวนาน, เพิ่มคอลัมน์แบบ Nullable ก่อน)
  • มีสคริปต์ Rollback Migration ทุกเวอร์ชัน
• [ ] Indexing & Query Optimization
  • ตรวจสอบ Execution Plan ของคิวรีหลัก (EXPLAIN / EXPLAIN ANALYZE) ว่าไม่เกิด Full Table Scan ในตารางขนาดใหญ่
  • ทำ Index ตรงตาม Foreign Keys, คอลัมน์ที่ใช้ใน WHERE, JOIN, ORDER BY
  • ตรวจสอบว่าคิวรีเป็น SARGable (ไม่ใช้ฟังก์ชันครอบคอลัมน์ในเงื่อนไขการค้นหา)
  • จัดการปัญหา N+1 Query ใน ORM/Data Access Layer
• [ ] Connection Pooling & Concurrency
  • ปรับตั้งค่า Max Connections และ Connection Pool ให้สมดุลระหว่าง Application Server และ Database
  • กำหนด Query Timeout เพื่อป้องกัน Slow Query ล็อก Connection จน Resource เต็ม
• [ ] Backup, Recovery & Data Retention
  • ทดสอบขั้นตอน Disaster Recovery (DR): ลอง Restore ข้อมูลจาก Snapshot / Backup ไฟล์จริง
  • ตั้งค่า Point-in-Time Recovery (PITR) และจัดเก็บสำเนาแบบ Off-site / Multi-region
  • กำหนดนโยบาย Data Retention และ Cleanup ข้อมูลตารางชั่วคราว/Log เก่า

3. Performance & Scalability

• [ ] Load & Stress Testing
  • ผ่านการทดสอบ Load Test ตามเป้าหมาย Peak Load ที่ประเมินไว้ พร้อมประเมินขีดจำกัดสูงสุด (Breaking Point)
  • วัดค่า p95 และ p99 Latency ให้ผ่านตาม Service Level Objectives (SLO)
• [ ] Caching Strategy
  • กำหนด Caching เลเยอร์ชัดเจน (CDN, In-memory cache เช่น Redis/Memcached)
  • มีนโยบาย Cache Invalidation ชัดเจน เพื่อป้องกันข้อมูลผิดพลาด (Stale Data)
  • ป้องกันปัญหา Cache Stampede / Thundering Herd สำหรับคีย์ที่มีการเรียกใช้หนาแน่น
• [ ] Static Assets & Network Optimization
  • บีบอัดไฟล์และเปิดใช้งาน Gzip / Brotli compression
  • ลดขนาด Asset (Minify JS/CSS, Image Optimization / WebP / AVIF)
  • วาง Static Assets ไว้หลัง CDN พร้อมกำหนด Cache-Control Header ที่เหมาะสม
• [ ] Background Processing & Queues
  • แยกงานที่ใช้เวลานาน (เช่น การส่งอีเมล, สร้างไฟล์ PDF/รายงาน, งานประมวลผลรูป) ไปทำผ่าน Background Workers / Message Queue
  • ตั้งค่า Dead Letter Queue (DLQ) และ Retry Mechanism สำหรับงานที่ล้มเหลว

4. Security & Compliance

• [ ] Authentication & Session Management
  • จัดเก็บรหัสผ่านด้วย Secure Hash Algorithm (เช่น Argon2id หรือ bcrypt พร้อม Work Factor ที่เหมาะสม)
  • ตั้งค่า Session / Token Timeout สั้นลง, ป้องกัน Session Fixation
  • บังคับใช้ Cookie Flags: Secure, HttpOnly, SameSite=Strict/Lax
• [ ] Access Control & Authorization
  • ตรวจสอบสิทธิ์ทุกระดับ (IDOR / Broken Object-Level Authorization) ห้ามพึ่งพาแค่การซ่อนปุ่มฝั่ง Client
  • ปฏิบัติตามหลัก Least Privilege: Database User ของแอปพลิเคชันไม่มีสิทธิ์ระดับ Superuser/Root
• [ ] Injection & Input Validation
  • ป้องกัน SQL Injection โดยใช้ Parameterized Queries หรือ Prepared Statements ทั้งหมด
  • ตรวจสอบและทำ Sanitization / Encoding ข้อมูลนำเข้าเพื่อป้องกัน Stored & Reflected XSS
  • มีกลไกป้องกัน CSRF (สำหรับระบบที่ใช้ Cookie-based Auth)
• [ ] Traffic Protection & Rate Limiting
  • ตั้งค่า Rate Limiting ในจุดเสี่ยง (Login, Register, Password Reset, OTP, และ Public APIs)
  • ติดตั้ง WAF (Web Application Firewall) หรือ DDoS Protection
• [ ] TLS / Transport Security & Security Headers
  • บังคับใช้ HTTPS ทั้งหมด และ Redirect HTTP ไป HTTPS อัตโนมัติ
  • ใส่ Security Headers สำคัญ:
    • Strict-Transport-Security (HSTS)
    • Content-Security-Policy (CSP)
    • X-Content-Type-Options: nosniff
    • X-Frame-Options: DENY หรือ SAMEORIGIN
• [ ] Dependency & Vulnerability Audit
  • สแกนหาช่องโหว่ใน Dependency (เช่น npm audit, trivy, snyk)
  • คอนฟิก Security Group / Firewall ปิดพอร์ตที่ไม่จำเป็นทั้งหมด (อนุญาตเฉพาะ 80/443 และควบคุมช่องทาง Bastion/VPN สำหรับการจัดการ)

ตารางสรุปการประเมินความพร้อม (Sign-off Gate)