Non-functional (производительность, безопасность smoke, устойчивость) ловят классы рисков, которые functional pass не гарантирует: медленно, дыряво, падает под нагрузкой.
Разбор
- Лёгкие perf-смоки на критичные API в CI + полноценный load вне PR.
- Security lint/SAST/DAST по политике отдельно от UI E2E.
- Не смешивайте тяжёлый load с каждым PR.
- SLO/SLA продукта задают, что автоматизировать.
Итог
Качество — не только «кнопка работает», но и «работает приемлемо и безопасно».