Como funciona a tecnologia SaaS por dentro

A maioria das explicações sobre a tecnologia SaaS para no mesmo ponto: roda na nuvem, acessa pelo navegador, atualiza sozinho. Isso descreve o que o usuário vê, não como a coisa funciona.

Este texto é o contrário. Ele percorre o que acontece por dentro de um SaaS, do momento em que alguém digita o endereço até a conta de disponibilidade que aparece no contrato. Serve tanto para quem vai construir um quanto para quem precisa avaliar o de outra empresa com alguma profundidade.

O caminho de uma requisição

Quando alguém abre um SaaS no navegador, acontece uma sequência que se repete em praticamente todo produto do mercado:

1. DNS e CDN. O endereço é resolvido e os arquivos estáticos (imagens, scripts, folhas de estilo) chegam de um servidor de borda próximo ao usuário, não do servidor principal.
2. Balanceador de carga. A requisição cai em um distribuidor que escolhe qual servidor de aplicação vai atendê-la, entre vários idênticos.
3. Autenticação. O sistema verifica quem é o usuário e, principalmente, a qual cliente ele pertence. Essa segunda parte é o que torna o produto multi-tenant.
4. Aplicação. A regra de negócio é executada, já filtrada pelo cliente identificado no passo anterior.
5. Banco de dados. A consulta é feita com o identificador do cliente aplicado, e frequentemente atendida por um cache antes de chegar ao banco.
6. Resposta. O resultado volta pelo mesmo caminho.

O passo 3 é o que separa um SaaS de um sistema instalado. Em software tradicional, cada empresa tem a própria instalação e não existe pergunta sobre “de quem é este dado”. Em SaaS, essa pergunta é feita em toda requisição, e errar a resposta significa mostrar dados de um cliente para outro.

Multi-tenancy: os três modelos de isolamento

Multi-tenancy é uma instância da aplicação atendendo muitos clientes. Como os dados ficam separados varia, e a escolha define custo, segurança e limite de crescimento do produto.

O terceiro modelo é o mais comum em produtos que crescem, e também o mais arriscado: uma única consulta escrita sem o filtro de cliente vaza dados entre contas. Por isso equipes maduras não deixam esse filtro a cargo de quem escreve cada consulta, e sim de uma camada que o aplica automaticamente.

Quando o requisito é isolamento comprovável, por exigência regulatória ou contratual, a saída é o modelo single-tenant, com instância dedicada por cliente. Custa mais e escala pior, e é por isso que aparece em contratos enterprise e não no plano de entrada.

Como a mesma versão serve todo mundo

Em SaaS não existe “versão 7.2 do cliente X”. Existe uma versão em produção, e ela muda com frequência. Três mecanismos tornam isso possível sem derrubar o serviço:

• Implantação sem interrupção. Servidores novos sobem com o código novo antes que os antigos saiam, e o balanceador vai transferindo o tráfego. O usuário não percebe a troca.
• Chaves de funcionalidade. Código novo vai para produção desligado, e é ativado depois por cliente ou por percentual da base. É o que permite lançar para 5% dos usuários e desfazer sem republicar nada.
• Migração de banco em duas etapas. Primeiro a estrutura aceita o formato antigo e o novo ao mesmo tempo, depois o antigo é removido. Sem isso, toda mudança de esquema exigiria parada.

É daqui que vem a característica mais sentida pelo cliente: a atualização não se recusa. A contrapartida da manutenção zero é não escolher quando a interface muda.

Como um SaaS escala

Há duas formas de aguentar mais carga, e elas não são intercambiáveis:

• Vertical. Uma máquina maior. Simples, imediato e limitado, porque existe um teto de tamanho e o custo cresce mais rápido que a capacidade.
• Horizontal. Mais máquinas iguais atrás do balanceador. É o que sustenta um SaaS de verdade, e exige que a aplicação não guarde estado local, já que a próxima requisição do mesmo usuário pode cair em outro servidor.

Na prática, o que trava primeiro quase nunca é a camada de aplicação, que é fácil de multiplicar. É o banco de dados, que é único. Por isso as primeiras medidas de escala costumam ser cache, réplicas de leitura e filas para tirar do caminho da requisição tudo que pode ser processado depois, como envio de e-mail, geração de relatório e integração com terceiros.

Toda essa camada roda sobre infraestrutura alugada, seja em IaaS, com máquinas virtuais gerenciadas pelo próprio time, seja em PaaS, com o ambiente já pronto.

Autenticação, permissão e API

Três mecanismos definem quem entra e o que consegue fazer:

• Autenticação. Confirma quem é a pessoa. Em produtos corporativos, isso frequentemente é delegado ao provedor de identidade da empresa cliente, o que permite entrar com a conta corporativa e, mais importante, remover o acesso de quem sai em um lugar só.
• Autorização. Define o que aquela pessoa pode fazer dentro do cliente ao qual pertence. São duas perguntas encadeadas: de qual cliente é o dado, e qual o papel deste usuário nele.
• API. A porta pela qual outros sistemas conversam com o produto, com chaves próprias, permissões próprias e limite de chamadas. É recurso de integração e, ao mesmo tempo, o que torna a troca de fornecedor mais cara depois.

O que 99,9% significa em minutos

Disponibilidade em contrato é sempre apresentada em percentual, que esconde a ordem de grandeza. Convertido para tempo fora do ar, considerando um mês de 30 dias:

A diferença entre 99% e 99,9% parece decimal e são quase sete horas por mês. Vale checar duas letras miúdas: se a janela de manutenção programada está excluída da conta, o que é comum, e se o descumprimento tem consequência contratual ou é apenas uma promessa.

O que isso muda para quem contrata

Entender a tecnologia não é curiosidade técnica, muda perguntas concretas na avaliação de um fornecedor:

• Como os dados são isolados entre clientes? A resposta indica a maturidade do produto, e um fornecedor sério responde sem rodeio.
• Existe ambiente de teste separado? Sem ele, validar mudanças significa validar em produção.
• Como as atualizações são comunicadas? Já que recusá-las não é opção, o mínimo é saber quando vêm.
• Qual o limite de chamadas de API? É o teto real de qualquer integração que você planeje.
• O SLA exclui manutenção programada? Se excluir, o número anunciado vale menos do que parece.

Para o modelo de negócio por trás dessa arquitetura, veja o guia do sistema SaaS e o que muda de responsabilidade. Para a conta de contratação, quanto custa uma solução SaaS. E se a intenção for construir um produto assim, o corte de escopo vem antes da arquitetura: como definir o escopo do primeiro produto digital.

Perguntas frequentes