运维与恢复

修改实例前

记录已部署 Worker 版本、绑定、构建变量和已应用 D1 迁移。迁移前备份 D1 并保留恢复点。 使用实例自己的配置，不使用公开占位域名、零数据库 ID 或演示账号。AUTH_SECRET 也用于加密凭据，更换需要密文数据轮换方案。

执行 frozen install、生成绑定、TypeScript、测试、Worker 构建、Drizzle 元数据、 全新本地迁移、dry-run、审计和启动分析。apps/site 单独验证/构建。通过本地测试 或 dry-run 不等于验证远程 Access、真实邮件、实体客户端或实际模型质量。

调度与队列

应用拥有每五分钟 cron，负责 SLA 提醒/违约、自动关闭、邮件修复、过期登录计数和 AI 用量保留。按当前 Wrangler 文件配置队列/DLQ 消费者。队列至少一次投递，稳定 ID、claim 和收据提供应用去重，不存在跨邮件提供商、D1、R2 的全局恰好一次事务。

监控入站/出站日志、通知失败、AI 凭据健康、知识重建和死信。邮件 R2 原文/收据需要 30 天生命周期，队列/DLQ 需要 14 天保留，这是运维配置要求，不表示现有账户已应用。

投递恢复

queued 为已接受待处理，sending 为活跃 claim，sent 为提供商接受，failed 为已知失败，uncertain 为不确定的提供商结果。uncertain 阻止同工单后续投递。 重发前结合 outbound_emails、email_dispatches、R2 收据和提供商日志。目前 没有工作台重发按钮，也没有提供商/D1 恰好一次事务，不要批量重置 uncertain。

修复明确的临时队列错误后，将相同且已验证的 job body 放回原队列，稳定 claim/收据 仍负责去重。确认已接受时核对原尝试和 Message-ID；只有确认未发送的尝试才能明确 重置/重排队。在收据过期前调查，保留 DLQ 证据而非清空。

入站隔离是独立人工放行流程：新邮件需明确类型，回复保留原工单/类型。验证失败 不证明垃圾，隔离邮件仍可恢复。

上线验证与回滚

检查客户门户健康、跨端 API 拒绝、工作台认证范围、Turnstile 配对、客户身份和 过期返回、cron、队列、邮件会话与真实接收端点。处理 429 Retry-After、409 过时状态和 503 验证不可用时，不盲目重试非幂等写入。

回退代码保留追加迁移。回退主 Worker 时核对队列消费者/邮件路由及代理对 RPC export 的依赖。旧 bundle 未必理解新配置/数据，不能把部署旧版本等同安全数据库回滚。