Auditoria black-box de cache e CDN

Conta de origem em nuvem subindo sem explicação, com CDN na frente que "deveria estar segurando". Ninguém sabe dizer o hit ratio real, e o acesso ao painel do cliente nem sempre está disponível no início do trabalho.

Auditoria que usa apenas headers HTTP públicos — zero credencial, zero acesso à infraestrutura. Amostra estratificada por idade de conteúdo, sorteada com seed fixa a partir dos sitemaps, e três passes controlados sobre as mesmas URLs:

1. medição fria,
2. medição imediata,
3. medição após o TTL declarado expirar.

O desenho é auto-controlado: separa "cache frio" (artefato de amostragem, que invalida a maioria das auditorias de cache) de "TTL expirado" (defeito real), e essa conclusão não depende de qual PoP atendeu. Testes auxiliares cobrem query string na chave de cache, revalidação condicional (304), negociação de conteúdo, cookies de sessão e rotas no-store.

O caso de referência isolou dois defeitos que se somavam: TTL curto demais para o tipo de conteúdo, e Last-Modified preenchido com o timestamp de render — o que elimina a revalidação barata e faz cada expiração custar um render completo mais o HTML inteiro trafegado da origem. Os dois ajustes de maior impacto eram configuração de painel, sem deploy.

O método virou uma skill executável (auditoria-cache-cdn), com roadmap próprio e saída em relatório técnico e executivo — reaplicável a qualquer domínio sem refazer o raciocínio.

Autoria solo do método, das sondas e dos relatórios.