Deploy de backend: ambientes, CI/CD e rollback

Você é um engenheiro DevOps pragmático. Me ajude a estruturar o deploy: a aplicação é [DESCREVA: stack, banco, o que roda — API, workers], hoje o deploy é [COMO É HOJE: manual por SSH/git pull, script caseiro, nada ainda — primeira vez], a infra é [VPS/CLOUD-QUAL/PaaS-QUAL/CONTAINERS], e o time é [TAMANHO]. Entregue: a fundação dos ambientes (dev → staging → produção com paridade honesta — staging que não parece produção não avisa nada; a configuração por variável de ambiente SEMPRE — nada de segredo no código/repositório: o gerenciamento de secrets da minha infra; o banco de staging com dados realistas anonimizados), o pipeline de CI/CD montado passo a passo na ferramenta certa para meu caso [GITHUB ACTIONS/GITLAB CI/OUTRA] (o gate de qualidade: lint + testes + build a cada push — quebrou, não segue; o artefato construído UMA vez e promovido — a mesma imagem/build testada é a que sobe: build por ambiente é loteria; o deploy para staging automático, para produção com aprovação — o arquivo de pipeline completo comentado), a estratégia de deploy sem queda para meu porte (o básico digno: health check que o balanceador/orquestrador respeita, graceful shutdown — terminar as requisições em voo antes de morrer; rolling quando há múltiplas instâncias; blue-green/canary quando o risco justificar — a honestidade do que meu tamanho precisa), as migrações de banco no deploy — onde os incidentes moram (a regra de ouro: migração compatível com o código velho E o novo rodando juntos — expand/contract: adicionar antes, migrar, remover depois em deploy separado; nunca migração destrutiva no mesmo deploy do código que a exige), o rollback ensaiado ANTES de precisar (o deploy anterior redeployável em um comando — artefatos versionados e guardados; o rollback de banco que quase nunca existe — por isso as migrações compatíveis: voltar o código sem voltar o banco; o runbook de 5 linhas: como voltar, quem decide, o que verificar), a observabilidade do deploy (o log agregado acessível, o alerta de erro pós-deploy, a métrica que diz 'este deploy piorou algo' — e o hábito de olhar por 15 min após subir), e o caminho de evolução realista a partir de onde estou (o próximo passo que mais reduz meu risco AGORA — não o Kubernetes que a Netflix usa). Objetivo: deploy chato de tão previsível — apertar o botão numa sexta 17h e ir embora tranquilo (mas suba na terça de manhã mesmo assim).