SSL-certifikatovervågning tjekker det certifikat, dit website faktisk serverer, og advarer dig i god tid, før det udløber. Når et certifikat udløber, erstatter browsere dit website med en helsidesadvarsel som “Din forbindelse er ikke privat”, og de fleste besøgende forsvinder. Overvågning sikrer, at du hører om et kommende udløb uger i forvejen, mens det stadig er en opgave i kalenderen og ikke et nedbrud.
Hvorfor certifikater stadig udløber
Certifikater har en kort levetid, og mange udstedes for 90 dage og fornyes automatisk. Det gør udløb sjældnere, ikke umuligt. Fornyelsen afhænger af, at flere ting virker på samme tid, og hver af dem kan gå i stykker i al stilhed:
Valideringen fejler. Certifikatudstederen skal verificere, at du har kontrol over domænet, ofte via en HTTP-forespørgsel til serveren eller en DNS-record. En firewallregel, en omdirigering eller en DNS-ændring kan blokere den.
Fornyelsesjobbet stopper. Opgaven, der fornyer certifikater, er et planlagt job som alle andre. Hvis serveren bygges op på ny, eller jobbet fjernes, bliver intet fornyet.
Det nye certifikat indlæses ikke. Fornyelsen lykkes, men webserveren bliver ved med at servere det gamle certifikat, indtil den genindlæses.
Serverne kommer ud af trit. Bag en load balancer kan én server servere et ældre certifikat end de andre.
Manuelle certifikater bliver glemt. Købte certifikater, der gælder et år, fornyes af en person, og folk skifter roller.
Overvågning ser på resultatet udefra: det certifikat, en besøgende modtager. Det fanger alle disse tilfælde.
Hvad du skal overvåge
Lav en liste over alle hostnames, der serverer HTTPS, ikke kun hovedwebsitet:
Hoveddomænet og www-varianten.
Subdomæner til shop, kasse og login.
API-hostnames, som apps og integrationer bruger.
Webmail og andre webfrontends på deres egne hostnames.
Statussider, hjælpecentre og landingssider til marketing.
Gamle domæner, der kun omdirigerer. Omdirigeringen kræver også et gyldigt certifikat.
Glemte hostnames er den sædvanlige kilde til overraskende advarsler.
Sådan vælger du tidspunkter for påmindelser
Den første påmindelse skal komme tidligt nok til, at du uden hast kan rette en fejlet fornyelse eller købe og installere et nyt certifikat:
Automatisk fornyede certifikater: en første påmindelse cirka to uger før udløb. Hvis certifikatet ikke er fornyet til den tid, er fornyelsen fejlet, og du har stadig tid til at rette det.
Købte certifikater: Start 30 dage eller mere i forvejen, så der er tid til godkendelse, validering og installation.
Følg op med påmindelser tættere på datoen, og send de sidste til en fælles kanal i stedet for én persons indbakke. SSL-overvågning i Uptimecheck sender påmindelser før udløb, så ingen behøver at huske datoen.
Hvem skal have påmindelserne
Påmindelser om certifikater går ofte til den person, der satte certifikatet op for flere år siden. Når den person skifter rolle eller stopper, går påmindelserne ingen steder hen. Undgå det:
Send påmindelser til en fælles postkasse eller en kanal i teamets chat i stedet for en personlig adresse.
Angiv en ejer for hvert certifikat i jeres dokumentation, sammen med hvor det fornyes og installeres.
Bureauer bør for hver kunde beslutte, hvem der fornyer: bureauet, kunden eller hostingudbyderen. Skriv det ned, og overvåg under alle omstændigheder.
Certifikater på mindre oplagte steder
Nogle certifikater gemmer sig uden for den webserver, du tænker på først:
CDN’er og load balancere afslutter selv HTTPS og har brug for deres eget certifikat.
Mailservere bruger certifikater til krypteret SMTP og IMAP.
Interne værktøjer som administrationspaneler og staging-websites bruger ofte separate certifikater, som ingen fornyer.
Kunders domæner: Hvis dit produkt lader kunder bruge deres eget domæne, har hvert af dem et certifikat, der kan fejle.
Føj dem til din oversigt, efterhånden som du finder dem. En kort liste, der er komplet, slår en lang liste med huller.
Domæner udløber også
Et gyldigt certifikat hjælper ikke, hvis selve domænet udløber. Domæner fornyes som regel hvert år eller sjældnere, hvilket gør dem endnu lettere at glemme. Overvåg domæneudløb ved siden af SSL. Se domæneovervågning.
Sådan sikrer du, at HTTPS bliver ved med at virke
Udløb er det mest almindelige certifikatproblem, men ikke det eneste. Kombiner certifikatovervågning med oppetidstjek via HTTPS, så du også får besked om:
Et certifikat, der ikke dækker hostnavnet, f.eks. efter at du har tilføjet et nyt subdomæne.
En ufuldstændig kæde, som nogle browsere og API-klienter afviser.
En server, der pludselig serverer et selvsigneret certifikat eller et standardcertifikat efter en konfigurationsændring.
En oppetidsmonitor på HTTPS-URL’en rapporterer en fejl, når forespørgslen fejler, så problemer som disse dukker op, så snart de besøgende ville se dem.
Når et certifikat alligevel udløber
Hvis et certifikat allerede er udløbet:
Forny eller genudsted det hos din certifikatudsteder eller med din ACME-klient.
Installer det på alle servere, der serverer hostnavnet, inklusive load balancere og CDN-konfigurationer.
Genindlæs webserveren, så det nye certifikat bliver brugt.
Verificer udefra med et HTTPS-tjek, ikke kun fra selve serveren.
Find årsagen. Ret fornyelsesjobbet, valideringsvejen eller den glemte påmindelse, så det ikke sker igen.
Hold kunderne orienteret, mens du retter det. En statusside fortæller dem, at du kender til problemet.
Tjekliste til SSL-overvågning
Lav en oversigt over alle hostnames, der serverer HTTPS, inklusive API’er, webmail og domæner, der kun omdirigerer.
Tilføj hvert hostname til SSL-overvågning.
Sæt den første påmindelse mindst to uger i forvejen for automatisk fornyede certifikater og 30 dage for købte.
Send påmindelser til en fælles kanal.
Overvåg domæneudløb for de samme domæner.
Tilføj oppetidstjek via HTTPS for at fange fejl i hostname og kæde.
Tjek selve fornyelsesjobbet med et heartbeat.
Gennemgå listen, når du tilføjer subdomæner eller skifter servere.
Opsummering
Automatisk fornyelse gør udløbne certifikater sjældnere, ikke umulige. Overvåg det, de besøgende faktisk modtager, start påmindelserne tidligt, og hold også øje med domæner og fornyelsesjobs.
SSL- og domæneovervågning er inkluderet i alle Uptimecheck-planer. Prøv det gratis i 14 dage, uden kreditkort.