Instância isolada: o que muda quando dá merda

SaaS compartilhado é ótimo até o vizinho estourar a fila. Em pagamento, o vizinho estoura a fila numa Black Friday que não é a sua.

O que é isolado de verdade

Na instância do programa, cada marca leva:

• Banco próprio — seller, transação, documento, trilha.
• Redis e fila próprios — o job de webhook de outro CNPJ não fura a sua liquidação.
• `APP_KEY`, tokens e credencial de adquirente no seu cofre.
• SMTP no seu domínio, reputação de entrega independente.

O que se compartilha é o código do core. Upgrade e rollback vão por release imutável, com backup antes — o rito está em como o core atualiza.

O que isolamento não é

Não é VPC de marketing. Não é “schema separado no mesmo MySQL lotado”. Não é a mesma Redis com prefixo de chave. Se o incidente de outra marca consegue degradar a sua p95 de PIX, o isolamento é slide.

Quando isso paga o setup

No dia em que um provedor falha e a contingência precisa retentar sem misturar idempotência com a fila de outro. No dia em que o jurídico pede extrato de um seller e você não quer um dump com três marcas no meio. No dia em que um vazamento de sessão não pode atravessar de um painel para outro.

Isolamento é o oposto de checkout pintado. Se a conversa comercial pular essa parte, volte nela antes de falar de cor.