La monitorización de certificados SSL comprueba el certificado que sirve realmente tu web y te avisa con tiempo antes de que caduque. Cuando un certificado caduca, los navegadores sustituyen tu web por un aviso a pantalla completa, como «La conexión no es privada», y la mayoría de los visitantes se van. La monitorización se asegura de que te enteres de una caducidad próxima con semanas de antelación, cuando todavía es una tarea en el calendario y no una caída.
Por qué siguen caducando los certificados
Los certificados tienen una vida útil corta, y muchos se emiten por 90 días y se renuevan automáticamente. Eso hace que la caducidad sea menos frecuente, no imposible. La renovación depende de que varias cosas funcionen a la vez, y cualquiera de ellas puede fallar sin hacer ruido:
Falla la validación. La autoridad de certificación tiene que verificar que controlas el dominio, a menudo mediante una petición HTTP al servidor o un registro DNS. Una regla de firewall, una redirección o un cambio de DNS pueden bloquearla.
La tarea de renovación se detiene. La tarea que renueva los certificados es una tarea programada como cualquier otra. Si el servidor se reconstruye o la tarea se elimina, no se renueva nada.
El nuevo certificado no se carga. La renovación funciona, pero el servidor web sigue sirviendo el certificado antiguo hasta que se recarga.
Los servidores se desincronizan. Detrás de un balanceador de carga, un servidor puede servir un certificado más antiguo que el resto.
Los certificados manuales se olvidan. Los certificados comprados que duran un año los renueva una persona, y las personas cambian de puesto.
La monitorización mira el resultado desde fuera: el certificado que recibe un visitante. Así detecta todos estos casos.
Qué monitorizar
Haz una lista de todos los nombres de host que sirven HTTPS, no solo de la web principal:
El dominio principal y la variante www.
Los subdominios de la tienda, el checkout y el inicio de sesión.
Los nombres de host de API que usan las apps y las integraciones.
El webmail y otros frontends web con su propio nombre de host.
Las páginas de estado, los centros de ayuda y las landing pages de marketing.
Los dominios antiguos que solo redirigen. La redirección también necesita un certificado válido.
Los nombres de host olvidados son la causa habitual de los avisos inesperados.
Cuándo enviar los recordatorios
El primer recordatorio debe llegar con tiempo suficiente para arreglar una renovación fallida o para comprar e instalar un certificado nuevo sin prisas:
Certificados con renovación automática: un primer recordatorio unas dos semanas antes de la caducidad. Si para entonces el certificado no se ha renovado, la renovación ha fallado y todavía tienes tiempo para arreglarla.
Certificados comprados: empieza con 30 días o más de antelación, para dejar tiempo a la aprobación, la validación y la instalación.
Añade recordatorios más cerca de la fecha y envía los últimos a un canal compartido en lugar de a la bandeja de entrada de una sola persona. La monitorización SSL de Uptimecheck envía recordatorios antes de la caducidad, así que nadie tiene que acordarse de la fecha.
Quién debe recibir los recordatorios
Los recordatorios de certificados suelen llegar a la persona que configuró el certificado hace años. Cuando esa persona cambia de puesto o se va, los recordatorios no llegan a nadie. Para evitarlo:
Envía los recordatorios a un buzón compartido o a un canal del chat del equipo en lugar de a una dirección personal.
Asigna en tu documentación un responsable a cada certificado, junto con dónde se renueva y dónde se instala.
Las agencias deberían decidir para cada cliente quién renueva: la agencia, el cliente o el proveedor de hosting. Déjalo por escrito y monitoriza en cualquier caso.
Certificados en lugares menos evidentes
Algunos certificados se esconden fuera del servidor web en el que piensas primero:
Las CDN y los balanceadores de carga terminan ellos mismos el HTTPS y necesitan su propio certificado.
Los servidores de correo usan certificados para SMTP e IMAP cifrados.
Las herramientas internas, como los paneles de administración y los entornos de staging, suelen usar certificados aparte que nadie renueva.
Dominios de clientes: si tu producto permite a los clientes usar su propio dominio, cada uno tiene un certificado que puede fallar.
Añádelos a tu inventario a medida que los encuentres. Una lista corta pero completa es mejor que una larga con huecos.
Los dominios también caducan
Un certificado válido no sirve de nada si caduca el propio dominio. Los dominios suelen renovarse cada año o con menos frecuencia, lo que hace que sea todavía más fácil olvidarlos. Monitoriza la caducidad del dominio junto con el SSL. Consulta la monitorización de dominios.
Cómo asegurarte de que HTTPS sigue funcionando
La caducidad es el problema de certificados más habitual, pero no el único. Combina la monitorización de certificados con comprobaciones de disponibilidad por HTTPS para enterarte también de:
Un certificado que no cubre el nombre de host, por ejemplo después de añadir un subdominio nuevo.
Una cadena incompleta que algunos navegadores y clientes de API rechazan.
Un servidor que de repente sirve un certificado autofirmado o por defecto tras un cambio de configuración.
Un monitor de disponibilidad en la URL HTTPS informa de un error cuando la petición falla, lo que saca a la luz problemas como estos en cuanto los verían los visitantes.
Cuando un certificado caduca
Si un certificado ya ha caducado:
Renuévalo o vuelve a emitirlo con tu autoridad de certificación o tu cliente ACME.
Instálalo en todos los servidores que sirven el nombre de host, incluidos los balanceadores de carga y las configuraciones de la CDN.
Recarga el servidor web para que use el nuevo certificado.
Verifícalo desde fuera con una comprobación HTTPS, no solo desde el propio servidor.
Busca la causa. Arregla la tarea de renovación, la ruta de validación o el recordatorio olvidado para que no vuelva a pasar.
Mantén informados a los clientes mientras lo arreglas. Una página de estado les dice que estás al tanto del problema.
Lista de comprobación de la monitorización SSL
Haz un inventario de todos los nombres de host que sirven HTTPS, incluidas las API, el webmail y los dominios que solo redirigen.
Añade cada nombre de host a la monitorización SSL.
Programa el primer recordatorio con al menos dos semanas de antelación para los certificados que se renuevan automáticamente y con 30 días para los comprados.
Envía los recordatorios a un canal compartido.
Monitoriza la caducidad de esos mismos dominios.
Añade comprobaciones de disponibilidad por HTTPS para detectar errores de nombre de host y de cadena.
Comprueba la propia tarea de renovación con un heartbeat.
Revisa la lista cuando añadas subdominios o cambies de servidor.
Resumen
La renovación automática hace que los certificados caducados sean menos frecuentes, no imposibles. Monitoriza lo que reciben realmente los visitantes, empieza pronto con los recordatorios y vigila también los dominios y las tareas de renovación.
La monitorización SSL y de dominios está incluida en todos los planes de Uptimecheck. Pruébalo gratis durante 14 días, sin tarjeta de crédito.