const express = require('express');
const crypto = require('crypto');
const app = express();
app.use(express.json());

function verifySignature(req) {
  const secret = Buffer.from(req.headers['x-webhook-secret'] || '');
  const expected = Buffer.from(process.env.WEBHOOK_SECRET || '');
  if (!expected.length) throw new Error('WEBHOOK_SECRET environment variable is not set');
  if (secret.length !== expected.length) return false;
  return crypto.timingSafeEqual(secret, expected);
}

app.post('/pagerduty-resolved', async (req, res) => {
  if (!verifySignature(req)) return res.status(401).send('Bad signature');

  const event = req.body?.event;
  if (!event || event.event_type !== 'incident.resolved') {
    return res.sendStatus(200);
  }

  const incident = event.data;
  const title = incident.title || 'Unknown incident';
  const service = incident.service?.summary || 'unknown-service';
  const urgency = incident.urgency || 'high';
  const incidentUrl = incident.html_url || '';
  const createdAt = incident.created_at || '';
  const resolvedAt = incident.resolved_at || new Date().toISOString();

  const orgId = process.env.DEVIN_ORG_ID;
  const response = await fetch(
    `https://api.devin.ai/v3/organizations/${orgId}/sessions`, {
    method: 'POST',
    headers: {
      'Authorization': `Bearer ${process.env.DEVIN_API_KEY}`,
      'Content-Type': 'application/json',
    },
    body: JSON.stringify({
      prompt: [
        `A PagerDuty incident has been resolved. Draft a postmortem.`,
        ``,
        `Incident: "${title}"`,
        `Service: ${service}`,
        `Urgency: ${urgency}`,
        `Created: ${createdAt}`,
        `Resolved: ${resolvedAt}`,
        `Incident URL: ${incidentUrl}`,
        ``,
        `Write a structured postmortem:`,
        `1. Use the Datadog MCP to pull logs and metrics for ${service} during the incident window`,
        `2. Identify the root cause — check for deploys, config changes, or upstream failures`,
        `3. Build a detailed timeline from first alert to resolution`,
        `4. List action items to prevent recurrence`,
        `5. Post the postmortem as a PR to our docs/postmortems/ directory`,
      ].join('\n'),
      tags: ['pagerduty-postmortem', `service:${service}`],
    }),
  });

  const { session_id } = await response.json();
  console.log(`Started postmortem session ${session_id} for: ${title}`);
  res.sendStatus(200);
});

app.listen(3000);

# Postmortem: Agotamiento del Pool de Conexiones de Base de Datos — orders-service
**Fecha:** 2026-02-10 | **Duración:** 46 minutos | **Severidad:** P1

## Resumen
orders-service experimentó agotamiento del pool de conexiones entre
las 14:32 y las 15:18 UTC, causando errores 502 en aproximadamente el 12% de las
solicitudes de creación de pedidos.

## Cronología
- 14:15 UTC — Deploy #387 publicado (commit e4f29a1)
- 14:28 UTC — El uso del pool de conexiones aumentó del 60% al 92%
- 14:32 UTC — Pool agotado; incidente de PagerDuty activado
- 14:38 UTC — Ingeniero de guardia notificado
- 14:45 UTC — Se identificó que el Deploy #387 agregó una nueva verificación
              de inventario que abre una conexión de BD por línea de pedido
              sin liberarla en el bloque finally
- 15:02 UTC — Reversión al Deploy #386 iniciada
- 15:18 UTC — Pool de conexiones recuperado; incidente resuelto

## Causa Raíz
El Deploy #387 introdujo `checkInventoryAvailability()` en
`src/services/orders.ts:142`. La función abre una nueva conexión de BD
por cada línea de pedido, pero solo la libera en la ruta de éxito.
Cuando las verificaciones de inventario fallan (por tiempo de espera
o falta de stock), las conexiones quedan en fuga.

Los pedidos con 5 o más líneas agotaban el pool de forma consistente en
15 minutos tras el deploy.

## Elementos de Acción
- [ ] Corregir la fuga de conexiones: agregar bloque `finally` para liberar
      la conexión (PR #388 abierto)
- [ ] Agregar monitor de uso del pool de conexiones con alerta al 80%
- [ ] Agregar prueba de integración para pedidos con múltiples líneas con
      fallos de inventario simulados
- [ ] Revisar otros patrones de acceso a BD en busca de fugas similares