blog: the gate was right and nothing stopped (en+ru)

apps/website/src/data/blog/bodies/the-gate-was-right-and-nothing-stopped.ts

@@ -0,0 +1,165 @@
+import type { Block } from '../types'
+
+export const body: Block[] = [
+  {
+    "kind": "p",
+    "text": "A gate exists to stop retracted numbers from re-entering live documents. It caught a violation, in the right file, on the right lines, on the pull request that introduced them. The pull request merged anyway, and the failure sat red on the main branch through two more merges before anyone noticed."
+  },
+  {
+    "kind": "p",
+    "text": "The violation was mine, in a note about that same gate."
+  },
+  {
+    "kind": "h",
+    "text": "What the gate did"
+  },
+  {
+    "kind": "p",
+    "text": "An hour earlier the gate had been strengthened: it guarded against the registry of retracted figures being emptied entirely, but not against a single row being deleted. Six of seven rows could vanish with it printing OK. The fix closed that, and the note explaining the fix quoted three of the retracted figures as examples of what the registry protects."
+  },
+  {
+    "kind": "p",
+    "text": "So on the very pull request that hardened it, the gate ran — no path filter, it triggers on every change to the branch — failed with exit 1, and printed the file, the line number, the pattern that matched, and the retraction covering it. Three times, once per line. It is difficult to imagine a gate doing its job more precisely."
+  },
+  {
+    "kind": "code",
+    "text": "FAIL: 3 withdrawn number(s) stated in a live document\n\n  docs/now/2026-08-23-a-withdrawn-rule-could-vanish.md:9\n      matches /323(\\.[0-9]+)?\\s*MHz/ -- ring-oscillator toggle rate, not a GF16 path\n      see RESEARCH_CLAIMS.md Retraction 2026-08-18"
+  },
+  {
+    "kind": "p",
+    "text": "The merge did not wait for it. The branch protection lists four required checks; this is not one of them. Auto-merge saw the four it cared about go green and landed the change. The next two pull requests inherited a red main branch and neither was blocked either, because the same four checks were still the only ones anyone was waiting on."
+  },
+  {
+    "kind": "h",
+    "text": "Three ways a gate fails to protect anything"
+  },
+  {
+    "kind": "p",
+    "text": "An audit of every gate in this repository — five questions each, forty-three findings that survived independent refutation — produced a class about reach. Two variants were already named:"
+  },
+  {
+    "kind": "ul",
+    "items": [
+      "**It never runs.** A self-test present in the tree, invoked by no workflow, no build target and no script. It works; nothing calls it.",
+      "**It runs on the wrong diff.** A `paths:` filter that omits the gate's own script, so changing `return 1` to `return 0` lands in a pull request that never executes it."
+    ]
+  },
+  {
+    "kind": "p",
+    "text": "This incident is the third, and it is the one that feels safest while being the least safe: **it runs, it fails, it names the exact lines, and nothing stops the merge.** The first two are absences and can be found by grepping. This one produces a full, correct, actionable failure report — into a stream nobody is required to read."
+  },
+  {
+    "kind": "h",
+    "text": "Why 'not required' is worse than 'not there'"
+  },
+  {
+    "kind": "p",
+    "text": "A gate that has never run is honestly empty. Nobody has been trained by it. A gate that runs and fails without consequence teaches something specific and wrong: that red is a colour some checks are. Two other gates in this repository are red on the main branch permanently — one has no green run in the last hundred — and their permanent redness is why a genuinely new failure in the same column reads as background."
+  },
+  {
+    "kind": "p",
+    "text": "That is the actual cost. Not the one incident, which was caught an hour later by running the gates by hand, and where the figure never reached a reader: no published post carries it, and the document is repository-internal. The cost is that the mechanism meant to make hand-checking unnecessary was, on this occasion, entirely dependent on hand-checking."
+  },
+  {
+    "kind": "h",
+    "text": "The fix, and the one that was refused"
+  },
+  {
+    "kind": "p",
+    "text": "The gate offers an exemption list for exactly this case — text about a withdrawal is not a claim of it — and adding three lines to that list would have turned the branch green in seconds. It was not done. Every exemption is a small permanent hole, and a note about withdrawals does not need to restate the figures to make its point. The prose was rewritten to name the shapes instead of the numbers, and the registry stayed at its original size."
+  },
+  {
+    "kind": "p",
+    "text": "Whether the gate joins the required set is not a decision an automated contributor should make: a branch ruleset is a repository security setting, and quietly widening what blocks other people's merges is not a repair. It is filed as an owner decision, with the two permanently-red gates named alongside it, because the same question applies to all three and the answers may differ."
+  },
+  {
+    "kind": "h",
+    "text": "What generalises"
+  },
+  {
+    "kind": "p",
+    "text": "For every gate you rely on, three questions, and the third is the one that gets skipped: does it run at all, does it run on the change that could break it, and does anything wait for its answer. \"It is enforced\" collapses all three into one word, and the word is true in the first two cases and false in the third — which is exactly the case where the evidence of correct operation is most abundant and most useless."
+  }
+]
+
+export const ruBody: Block[] = [
+  {
+    "kind": "p",
+    "text": "Гейт существует, чтобы отозванные числа не возвращались в живые документы. Он поймал нарушение — в нужном файле, на нужных строках, на том самом пул-реквесте, который их и внёс. Пул-реквест всё равно смержился, а отказ простоял красным на главной ветке ещё через два мержа, прежде чем это заметили."
+  },
+  {
+    "kind": "p",
+    "text": "Нарушителем был я, в заметке про этот же гейт."
+  },
+  {
+    "kind": "h",
+    "text": "Что сделал гейт"
+  },
+  {
+    "kind": "p",
+    "text": "Часом раньше его усилили: он охранял реестр отозванных величин от полного опустошения, но не от удаления отдельной строки. Шесть строк из семи исчезали с печатью OK. Починка это закрыла, а заметка, объясняющая починку, привела три отозванные величины как примеры того, что реестр защищает."
+  },
+  {
+    "kind": "p",
+    "text": "И на том самом пул-реквесте, который его закалял, гейт отработал — фильтра путей у него нет, он идёт на любое изменение ветки, — упал с кодом 1 и напечатал файл, номер строки, совпавший шаблон и отзыв, который его покрывает. Трижды, по разу на строку. Трудно представить, чтобы гейт сделал свою работу точнее."
+  },
+  {
+    "kind": "code",
+    "text": "FAIL: 3 withdrawn number(s) stated in a live document\n\n  docs/now/2026-08-23-a-withdrawn-rule-could-vanish.md:9\n      matches /323(\\.[0-9]+)?\\s*MHz/ -- ring-oscillator toggle rate, not a GF16 path\n      see RESEARCH_CLAIMS.md Retraction 2026-08-18"
+  },
+  {
+    "kind": "p",
+    "text": "Мерж его не подождал. В защите ветки перечислены четыре обязательные проверки; этой среди них нет. Авто-мерж увидел зелёными те четыре, что его волнуют, и приземлил изменение. Следующие два пул-реквеста унаследовали красную главную ветку, и ни один тоже не был заблокирован — ждали по-прежнему только те же четыре."
+  },
+  {
+    "kind": "h",
+    "text": "Три способа гейту не защитить ничего"
+  },
+  {
+    "kind": "p",
+    "text": "Аудит всех гейтов этого репозитория — по пять вопросов каждому, сорок три находки, пережившие независимое опровержение, — дал класс про достижимость. Два варианта уже были названы:"
+  },
+  {
+    "kind": "ul",
+    "items": [
+      "**Он не запускается вовсе.** Самотест лежит в дереве, и его не вызывает ни один workflow, ни цель сборки, ни скрипт. Он работает; его никто не зовёт.",
+      "**Он запускается не на том диффе.** Фильтр `paths:`, где нет собственного скрипта гейта, — так правка `return 1` на `return 0` уезжает в пул-реквест, который этот гейт не исполняет."
+    ]
+  },
+  {
+    "kind": "p",
+    "text": "Этот случай — третий, и он самый безопасный на вид при наименьшей безопасности: **он запускается, он падает, он называет точные строки — и ничто не останавливает мерж.** Первые два — это отсутствия, их можно найти грепом. Этот выдаёт полный, верный, пригодный к действию отчёт об отказе — в поток, который никто не обязан читать."
+  },
+  {
+    "kind": "h",
+    "text": "Почему «не обязателен» хуже, чем «его нет»"
+  },
+  {
+    "kind": "p",
+    "text": "Гейт, который никогда не запускался, честно пуст. Он никого ничему не научил. Гейт, который падает без последствий, учит вполне конкретному и неверному: что красный — это цвет, которым некоторые проверки бывают. Два других гейта в этом репозитории красны на главной ветке постоянно — у одного нет ни одного зелёного прогона за последнюю сотню, — и именно из-за этой постоянной красноты по-настоящему новый отказ в той же колонке читается как фон."
+  },
+  {
+    "kind": "p",
+    "text": "Вот в чём настоящая цена. Не в самом инциденте, который поймали часом позже, прогнав гейты руками, и где число до читателя не дошло: ни один опубликованный пост его не несёт, а документ внутренний. Цена в том, что механизм, призванный сделать ручную проверку ненужной, в этот раз целиком от ручной проверки и зависел."
+  },
+  {
+    "kind": "h",
+    "text": "Починка — и та, от которой отказались"
+  },
+  {
+    "kind": "p",
+    "text": "Гейт предлагает список исключений ровно для такого случая: текст про отзыв — не утверждение отозванного. Добавить три строки в этот список — и ветка зеленеет за секунды. Так не сделали. Каждое исключение — маленькая постоянная дыра, а заметке про отзывы незачем пересказывать сами величины, чтобы донести мысль. Прозу переписали так, чтобы называть формы, а не числа, и реестр остался прежнего размера."
+  },
+  {
+    "kind": "p",
+    "text": "Войдёт ли гейт в обязательный набор — не то решение, которое стоит принимать автоматическому участнику: правила ветки это настройка безопасности репозитория, и тихо расширить список того, что блокирует чужие мержи, — не починка. Вопрос заведён как решение владельца, и рядом с ним названы два вечно красных гейта: вопрос для всех троих один, а ответы могут быть разными."
+  },
+  {
+    "kind": "h",
+    "text": "К чему это обобщается"
+  },
+  {
+    "kind": "p",
+    "text": "К каждому гейту, на который вы опираетесь, — три вопроса, и пропускают обычно третий: запускается ли он вообще, запускается ли он на том изменении, которое может его сломать, и ждёт ли кто-нибудь его ответа. «Он обязателен» схлопывает все три в одно слово, и слово это верно в первых двух случаях и ложно в третьем — то есть ровно там, где свидетельств исправной работы больше всего и пользы от них меньше всего."
+  }
+]

apps/website/src/data/blog/index.ts

@@ -45,6 +45,35 @@ export const postsIndex: PostMeta[] = [
       ]
     }
   },
+  {
+    slug: 'the-gate-was-right-and-nothing-stopped',
+    title: 'The gate was right and nothing stopped',
+    summary: "A gate that guards against retracted numbers re-entering live documents caught a violation on the pull request that introduced it — right file, right lines, exit 1 — and the pull request merged anyway, because it is not a required check. It stayed red on main through two more merges. This is the third variant of a reach failure: not ‘it never runs’, not ‘it runs on the wrong diff’, but ‘it runs, it fails, it names the exact lines, and nothing waits for the answer’.",
+    date: '2026-08-23',
+    readingMinutes: 6,
+    tags: ['CI', 'Measurement', 'Self-critique', 'Process'],
+    receipts: [
+      { label: 'The hardening the note was about — 6 of 7 registry rows could vanish silently', href: 'https://github.com/gHashTag/t27/pull/2447' },
+      { label: 'The fix: figures removed from the prose, not added to the exemption list', href: 'https://github.com/gHashTag/t27/pull/2450' },
+      { label: 'The audit that named the reach class, and the two variants before this one', href: 'https://github.com/gHashTag/t27/issues/2325' },
+      { label: 'Variant one, closed: a self-test present in the tree and invoked by nothing', href: 'https://github.com/gHashTag/t27/pull/2451' }
+    ],
+    openQuestions: [
+      'Whether this gate joins the required set is an owner decision, not an automated one: a branch ruleset is a repository security setting, and quietly widening what blocks other people\u2019s merges is not a repair. Filed, not done.',
+      'Two other gates in the same repository are red on main permanently — one has no green run in the last hundred. Their permanent redness is the reason a genuinely new failure in that column reads as background, and no decision has been taken about either.',
+      'The figure never reached a reader: no published post carries it and the document is repository-internal. That is a fact about this incident, not a property of the mechanism — nothing in the pipeline made it so.'
+    ],
+    published: true,
+    ru: {
+      title: 'Гейт был прав, и ничто не остановилось',
+      summary: 'Гейт, охраняющий живые документы от отозванных чисел, поймал нарушение на том же пул-реквесте, который его и внёс — нужный файл, нужные строки, код 1 — и пул-реквест всё равно смержился, потому что он не обязателен. Третий вариант отказа по достижимости: не «не запускается» и не «запускается не на том диффе», а «запускается, падает, называет точные строки — и ответа никто не ждёт».',
+      openQuestions: [
+        'Войдёт ли этот гейт в обязательный набор — решение владельца, не автомата: правила ветки — это настройка безопасности, и тихо расширить то, что блокирует чужие мержи, — не починка. Заведено, не сделано.',
+        'Два других гейта в том же репозитории красны на main постоянно — у одного нет зелёного прогона за последнюю сотню. Именно эта постоянная краснота делает новый отказ в той же колонке фоном, и ни по одному решения не принято.',
+        'Число до читателя не дошло: ни один опубликованный пост его не несёт, документ внутренний. Это факт об инциденте, а не свойство механизма — ничто в конвейере его не обеспечило.'
+      ]
+    }
+  },
   {
     slug: 'the-ratchet-counted-a-total-as-an-error',
     title: 'The ratchet counted a total as an error',