La surveillance des certificats SSL vérifie le certificat que votre site sert réellement et vous prévient bien avant son expiration. Quand un certificat expire, les navigateurs remplacent votre site par un avertissement pleine page, comme « Votre connexion n’est pas privée », et la plupart des visiteurs s’en vont. La surveillance vous garantit d’être informé d’une expiration des semaines à l’avance, tant que c’est encore une tâche dans l’agenda et pas une panne.
Pourquoi les certificats expirent encore
Les certificats ont une durée de vie courte, et beaucoup sont émis pour 90 jours puis renouvelés automatiquement. Cela rend l’expiration plus rare, pas impossible. Le renouvellement dépend de plusieurs éléments qui doivent fonctionner en même temps, et chacun peut casser sans bruit :
La validation échoue. L’autorité de certification doit vérifier que vous contrôlez le domaine, souvent via une requête HTTP vers le serveur ou un enregistrement DNS. Une règle de pare-feu, une redirection ou une modification DNS peut la bloquer.
La tâche de renouvellement s’arrête. La tâche qui renouvelle les certificats est une tâche planifiée comme une autre. Si le serveur est reconstruit ou la tâche supprimée, plus rien n’est renouvelé.
Le nouveau certificat n’est pas chargé. Le renouvellement réussit, mais le serveur web continue de servir l’ancien certificat jusqu’à ce qu’il soit rechargé.
Les serveurs divergent. Derrière un load balancer, un serveur peut servir un certificat plus ancien que les autres.
Les certificats manuels sont oubliés. Les certificats achetés pour un an sont renouvelés par une personne, et les gens changent de poste.
La surveillance regarde le résultat de l’extérieur : le certificat que reçoit un visiteur. Elle détecte ainsi tous ces cas.
Quoi surveiller
Listez chaque nom d’hôte qui sert du HTTPS, pas seulement le site principal :
Le domaine principal et sa variante www.
Les sous-domaines de boutique, de paiement et de connexion.
Les noms d’hôte d’API utilisés par les applications et les intégrations.
Le webmail et les autres interfaces web sur leurs propres noms d’hôte.
Les pages de statut, les centres d’aide et les landing pages marketing.
Les anciens domaines qui ne font que rediriger. La redirection a aussi besoin d’un certificat valide.
Les noms d’hôte oubliés sont la source habituelle des avertissements surprises.
Choisir les délais de rappel
Le premier rappel doit arriver assez tôt pour corriger un renouvellement raté, ou pour acheter et installer un nouveau certificat sans précipitation :
Certificats renouvelés automatiquement : un premier rappel environ deux semaines avant l’expiration. Si le certificat n’a pas été renouvelé d’ici là, le renouvellement a échoué et vous avez encore le temps de le corriger.
Certificats achetés : commencez 30 jours à l’avance ou plus, pour laisser le temps à l’approbation, à la validation et à l’installation.
Prévoyez ensuite des rappels plus proches de la date, et envoyez les derniers vers un canal partagé plutôt que dans la boîte de réception d’une seule personne. La surveillance SSL d’Uptimecheck envoie des rappels avant l’expiration, pour que personne n’ait à retenir la date.
Qui doit recevoir les rappels
Les rappels de certificat sont souvent envoyés à la personne qui a configuré le certificat il y a des années. Quand elle change de poste ou s’en va, les rappels ne parviennent plus à personne. Pour l’éviter :
Envoyez les rappels vers une boîte partagée ou un canal de discussion d’équipe plutôt qu’à une adresse personnelle.
Désignez un responsable pour chaque certificat dans votre documentation, en précisant où il est renouvelé et installé.
Les agences doivent décider, client par client, qui renouvelle : l’agence, le client ou l’hébergeur. Notez-le, et surveillez dans tous les cas.
Des certificats là où on ne les attend pas
Certains certificats se cachent en dehors du serveur web auquel on pense en premier :
Les CDN et load balancers terminent eux-mêmes le HTTPS et ont besoin de leur propre certificat.
Les serveurs de messagerie utilisent des certificats pour le SMTP et l’IMAP chiffrés.
Les outils internes, comme les interfaces d’administration et les sites de staging, utilisent souvent des certificats distincts que personne ne renouvelle.
Les domaines clients : si votre produit permet aux clients d’utiliser leur propre domaine, chacun a un certificat qui peut faire défaut.
Ajoutez-les à votre inventaire au fur et à mesure que vous les trouvez. Mieux vaut une liste courte et complète qu’une longue liste pleine de trous.
Les domaines expirent aussi
Un certificat valide ne sert à rien si le domaine lui-même expire. Les renouvellements de domaine sont généralement annuels ou plus espacés, ce qui les rend encore plus faciles à oublier. Surveillez l’expiration des domaines en plus du SSL. Voir la surveillance de domaine.
Garantir que le HTTPS continue de fonctionner
L’expiration est le problème de certificat le plus courant, mais pas le seul. Associez la surveillance des certificats à des vérifications de disponibilité en HTTPS, pour être aussi informé :
D’un certificat qui ne couvre pas le nom d’hôte, par exemple après l’ajout d’un nouveau sous-domaine.
D’une chaîne incomplète que certains navigateurs et clients d’API rejettent.
D’un serveur qui sert soudain un certificat auto-signé ou par défaut après un changement de configuration.
Un moniteur de disponibilité sur l’URL HTTPS signale une erreur quand la requête échoue, ce qui fait apparaître ce type de problème dès que les visiteurs le verraient.
Quand un certificat expire malgré tout
Si un certificat a déjà expiré :
Renouvelez-le ou faites-le réémettre auprès de votre autorité de certification ou via votre client ACME.
Installez-le sur chaque serveur qui sert le nom d’hôte, y compris les load balancers et les configurations CDN.
Rechargez le serveur web pour que le nouveau certificat soit utilisé.
Vérifiez depuis l’extérieur avec un contrôle HTTPS, pas seulement depuis le serveur lui-même.
Trouvez la cause. Corrigez la tâche de renouvellement, le chemin de validation ou le rappel oublié, pour que cela ne se reproduise pas.
Tenez vos clients informés pendant la correction. Une page de statut leur montre que vous êtes au courant du problème.
Checklist de surveillance SSL
Recensez chaque nom d’hôte qui sert du HTTPS, y compris les API, le webmail et les domaines qui ne font que rediriger.
Ajoutez chaque nom d’hôte à la surveillance SSL.
Programmez le premier rappel au moins deux semaines à l’avance pour les certificats renouvelés automatiquement, et 30 jours pour les certificats achetés.
Envoyez les rappels vers un canal partagé.
Surveillez l’expiration des mêmes domaines.
Ajoutez des vérifications de disponibilité en HTTPS pour détecter les erreurs de nom d’hôte et de chaîne.
Contrôlez la tâche de renouvellement elle-même avec un heartbeat.
Revoyez la liste quand vous ajoutez des sous-domaines ou changez de serveur.
En résumé
Le renouvellement automatique rend les certificats expirés plus rares, pas impossibles. Surveillez ce que reçoivent réellement les visiteurs, programmez des rappels tôt et gardez aussi un œil sur les domaines et les tâches de renouvellement.
La surveillance SSL et de domaine est incluse dans toutes les formules Uptimecheck. Essayez-le gratuitement pendant 14 jours, sans carte bancaire.