SSL-varmenteiden valvonta tarkistaa varmenteen, jota verkkosivustosi oikeasti tarjoaa, ja varoittaa sinua hyvissä ajoin ennen sen vanhenemista. Kun varmenne vanhenee, selaimet korvaavat sivustosi koko sivun varoituksella, kuten ”Yhteytesi ei ole yksityinen”, ja useimmat kävijät poistuvat. Valvonnan ansiosta kuulet lähestyvästä vanhenemisesta viikkoja etukäteen, kun se on vielä kalenteriin merkittävä tehtävä eikä katko.
Miksi varmenteet yhä vanhenevat
Varmenteiden voimassaoloajat ovat lyhyitä, ja monet myönnetään 90 päiväksi ja uusitaan automaattisesti. Se tekee vanhenemisesta harvinaisempaa, mutta ei mahdotonta. Uusiminen edellyttää, että useampi asia toimii samaan aikaan, ja mikä tahansa niistä voi rikkoutua huomaamatta:
Validointi epäonnistuu. Varmentajan on varmistettava, että hallitset verkkotunnusta, usein palvelimelle tehtävällä HTTP-pyynnöllä tai DNS-tietueella. Palomuurisääntö, uudelleenohjaus tai DNS-muutos voi estää sen.
Uusimistehtävä pysähtyy. Varmenteet uusiva tehtävä on ajastettu työ siinä missä muutkin. Jos palvelin rakennetaan uudelleen tai tehtävä poistetaan, mitään ei uusita.
Uutta varmennetta ei ladata. Uusiminen onnistuu, mutta verkkopalvelin tarjoaa vanhaa varmennetta, kunnes se ladataan uudelleen.
Palvelimet erkanevat toisistaan. Kuormantasaajan takana yksi palvelin voi tarjota vanhempaa varmennetta kuin muut.
Manuaaliset varmenteet unohtuvat. Ostetut, vuoden voimassa olevat varmenteet uusii ihminen, ja ihmisten tehtävät vaihtuvat.
Valvonta katsoo lopputulosta ulkopuolelta: varmennetta, jonka kävijä saa. Siksi se huomaa kaikki nämä tapaukset.
Mitä valvoa
Listaa jokainen HTTPS:ää tarjoava isäntänimi, ei vain pääsivustoa:
Pääverkkotunnus ja sen www-muoto.
Verkkokaupan, kassan ja kirjautumisen aliverkkotunnukset.
Sovellusten ja integraatioiden käyttämät API-isäntänimet.
Webmail ja muut omilla isäntänimillään toimivat verkkokäyttöliittymät.
Tilasivut, ohjekeskukset ja markkinoinnin laskeutumissivut.
Vanhat verkkotunnukset, jotka vain ohjaavat eteenpäin. Uudelleenohjauskin tarvitsee voimassa olevan varmenteen.
Unohdetut isäntänimet ovat tavallisin syy yllättäviin varoituksiin.
Muistutusten ajoitus
Ensimmäisen muistutuksen pitää tulla niin aikaisin, että ehdit korjata epäonnistuneen uusimisen tai ostaa ja asentaa uuden varmenteen kiirehtimättä:
Automaattisesti uusittavat varmenteet: ensimmäinen muistutus noin kaksi viikkoa ennen vanhenemista. Jos varmennetta ei ole siihen mennessä uusittu, uusiminen on epäonnistunut, ja sinulla on vielä aikaa korjata asia.
Ostetut varmenteet: aloita vähintään 30 päivää etukäteen, jotta hyväksynnälle, validoinnille ja asennukselle jää aikaa.
Lähetä lisää muistutuksia päivämäärän lähestyessä ja ohjaa viimeiset yhteiseen kanavaan yhden henkilön postilaatikon sijaan. Uptimecheckin SSL-valvonta lähettää muistutukset ennen vanhenemista, joten kenenkään ei tarvitse muistaa päivämäärää.
Kenelle muistutukset lähetetään
Varmennemuistutukset menevät usein henkilölle, joka otti varmenteen käyttöön vuosia sitten. Kun hän vaihtaa tehtäviä tai lähtee, muistutukset eivät tavoita ketään. Vältä se näin:
Lähetä muistutukset yhteiseen postilaatikkoon tai tiimin chat-kanavaan henkilökohtaisen osoitteen sijaan.
Nimeä dokumentaatiossa jokaiselle varmenteelle omistaja ja kirjaa, missä se uusitaan ja asennetaan.
Toimistojen kannattaa sopia asiakaskohtaisesti, kuka uusii: toimisto, asiakas vai palveluntarjoaja. Kirjaa se ylös ja valvo joka tapauksessa.
Varmenteet vähemmän ilmeisissä paikoissa
Osa varmenteista piileskelee muualla kuin siinä verkkopalvelimessa, joka tulee ensimmäisenä mieleen:
CDN:t ja kuormantasaajat päättävät HTTPS-yhteyden itse ja tarvitsevat oman varmenteensa.
Postipalvelimet käyttävät varmenteita salattuun SMTP- ja IMAP-liikenteeseen.
Sisäiset työkalut, kuten hallintapaneelit ja testiympäristöt, käyttävät usein erillisiä varmenteita, joita kukaan ei uusi.
Asiakkaiden verkkotunnukset: jos tuotteesi antaa asiakkaiden käyttää omaa verkkotunnustaan, jokaisella on varmenne, joka voi pettää.
Lisää ne luetteloosi sitä mukaa kuin löydät niitä. Lyhyt ja kattava lista on parempi kuin pitkä ja aukkoinen.
Myös verkkotunnukset vanhenevat
Voimassa olevasta varmenteesta ei ole apua, jos itse verkkotunnus vanhenee. Verkkotunnukset uusitaan yleensä vuodeksi tai pidemmäksi aikaa, joten ne unohtuvat vielä helpommin. Valvo verkkotunnusten vanhenemista SSL:n rinnalla. Katso verkkotunnusten valvonta.
Näin varmistat, että HTTPS toimii jatkossakin
Vanheneminen on yleisin varmenneongelma, mutta ei ainoa. Yhdistä varmenteiden valvontaan HTTPS-käytettävyystarkistukset, niin saat tiedon myös näistä:
Varmenne, joka ei kata isäntänimeä, esimerkiksi uuden aliverkkotunnuksen lisäämisen jälkeen.
Puutteellinen ketju, jonka osa selaimista ja API-asiakkaista hylkää.
Palvelin, joka asetusmuutoksen jälkeen yhtäkkiä tarjoaa itse allekirjoitettua tai oletusvarmennetta.
HTTPS-osoitteeseen asetettu käytettävyyden valvonta ilmoittaa virheestä, kun pyyntö epäonnistuu, joten tällaiset ongelmat tulevat esiin heti, kun kävijät näkisivät ne.
Kun varmenne kuitenkin vanhenee
Jos varmenne on jo vanhentunut:
Uusi varmenne tai hae se uudelleen varmentajaltasi tai ACME-asiakkaallasi.
Asenna se jokaiselle palvelimelle, joka tarjoaa isäntänimeä, kuormantasaajat ja CDN-määritykset mukaan lukien.
Lataa verkkopalvelin uudelleen, jotta uusi varmenne otetaan käyttöön.
Tarkista ulkopuolelta HTTPS-tarkistuksella, älä pelkästään palvelimelta itseltään.
Selvitä syy. Korjaa uusimistehtävä, validointireitti tai unohtunut muistutus, jotta sama ei toistu.
Pidä asiakkaat ajan tasalla korjauksen aikana. Tilasivu kertoo heille, että tiedät ongelmasta.
SSL-valvonnan tarkistuslista
Listaa jokainen HTTPS:ää tarjoava isäntänimi, myös API:t, webmail ja pelkästään uudelleenohjaavat verkkotunnukset.
Lisää jokainen isäntänimi SSL-valvontaan.
Aseta ensimmäinen muistutus vähintään kaksi viikkoa etukäteen automaattisesti uusittaville varmenteille ja 30 päivää etukäteen ostetuille.
Lähetä muistutukset yhteiseen kanavaan.
Valvo samojen verkkotunnusten vanhenemista.
Lisää HTTPS-käytettävyystarkistukset, jotka huomaavat isäntänimi- ja ketjuvirheet.
Valvo itse uusimistehtävää heartbeat-valvonnalla.
Käy lista läpi, kun lisäät aliverkkotunnuksia tai vaihdat palvelimia.
Yhteenveto
Automaattinen uusiminen tekee vanhentuneista varmenteista harvinaisempia, mutta ei mahdottomia. Valvo sitä, mitä kävijät oikeasti saavat, aloita muistutukset ajoissa ja pidä myös verkkotunnukset ja uusimistehtävät valvonnassa.
SSL- ja verkkotunnusvalvonta sisältyvät jokaiseen Uptimecheckin pakettiin. Kokeile ilmaiseksi 14 päivää, luottokorttia ei tarvita.