Como o core atualiza sem quebrar a sua marca

Medo justo: “se o core evolui para todo mundo, a minha marca quebra”. O rito é o contrário de deploy surpresa em SaaS compartilhado.

Release imutável

Cada versão do core é um commit etiquetado. Antes de aplicar na sua instância, backup. Se algo escapar, rollback para o SHA anterior. Você não “pega o que tiver no ar no sábado”.

Changelog quieto, recortado por painel

O número da versão embaixo da logo abre o que mudou. Sem banner. Sem “novidades!” no menu.

• Seller lê só o que é do portal dele.
• Gestão lê gestão e seller — precisa saber o que o cliente final vai ver.
• Central lê tudo.

O seller não precisa saber o que mudou no painel da bandeira. A bandeira precisa saber o que mudou no painel do seller.

Isolamento segura o blast radius

Como a instância é isolada, o upgrade da marca A não compartilha fila com a marca B. O código é o mesmo; o runtime não.

O que o integrador sente

Endpoint e HMAC continuam no seu domínio. A doc ganha nota quando a superfície muda. Sem nota no changelog, a versão não fecha — regra interna do core, não promessa de marketing.

Parceiro de white-label fica sabendo que o número da versão existe. O cliente final do seller só descobre se clicar. Transparência de operação, não de campanha.