Il monitoraggio dei certificati SSL controlla il certificato che il tuo sito serve davvero e ti avvisa con largo anticipo prima che scada. Quando un certificato scade, i browser sostituiscono il tuo sito con un avviso a tutta pagina come «La connessione non è privata», e la maggior parte dei visitatori se ne va. Il monitoraggio ti assicura di sapere di una scadenza imminente settimane prima, quando è ancora un’attività da calendario e non un’interruzione del servizio.
Perché i certificati scadono ancora
I certificati hanno una durata breve, e molti vengono emessi per 90 giorni e rinnovati automaticamente. Questo rende la scadenza più rara, non impossibile. Il rinnovo dipende da diversi elementi che devono funzionare contemporaneamente, e ognuno di essi può smettere di funzionare in silenzio:
La convalida fallisce. L’autorità di certificazione deve verificare che tu controlli il dominio, spesso tramite una richiesta HTTP al server o un record DNS. Una regola del firewall, un redirect o una modifica DNS possono bloccarla.
Il job di rinnovo si ferma. L’attività che rinnova i certificati è un job pianificato come tutti gli altri. Se il server viene ricostruito o il job viene rimosso, non si rinnova più nulla.
Il nuovo certificato non viene caricato. Il rinnovo riesce, ma il web server continua a servire il vecchio certificato finché non viene ricaricato.
I server si disallineano. Dietro un load balancer, un server può servire un certificato più vecchio degli altri.
I certificati manuali vengono dimenticati. I certificati acquistati che durano un anno li rinnova una persona, e le persone cambiano ruolo.
Il monitoraggio guarda il risultato dall’esterno: il certificato che riceve un visitatore. Così intercetta tutti questi casi.
Che cosa monitorare
Elenca ogni hostname che serve HTTPS, non solo il sito principale:
Il dominio principale e la variante www.
I sottodomini di shop, checkout e login.
Gli hostname delle API usati da app e integrazioni.
La webmail e gli altri frontend web su hostname propri.
Pagine di stato, help center e landing page di marketing.
I vecchi domini che fanno solo un redirect. Anche il redirect ha bisogno di un certificato valido.
Gli hostname dimenticati sono la fonte abituale degli avvisi inaspettati.
Scegliere quando ricevere i promemoria
Il primo promemoria dovrebbe arrivare abbastanza presto da permetterti di sistemare un rinnovo fallito, o di acquistare e installare un nuovo certificato, senza fretta:
Certificati rinnovati automaticamente: un primo promemoria circa due settimane prima della scadenza. Se a quel punto il certificato non è stato rinnovato, il rinnovo è fallito e hai ancora tempo per sistemarlo.
Certificati acquistati: inizia 30 giorni prima o anche di più, per lasciare tempo ad approvazione, convalida e installazione.
Prosegui con altri promemoria man mano che la data si avvicina, e invia gli ultimi a un canale condiviso anziché alla casella di una sola persona. Il monitoraggio SSL di Uptimecheck invia promemoria prima della scadenza, così nessuno deve ricordarsi la data.
Chi dovrebbe ricevere i promemoria
I promemoria dei certificati arrivano spesso alla persona che ha configurato il certificato anni fa. Quando quella persona cambia ruolo o se ne va, i promemoria non arrivano più a nessuno. Per evitarlo:
Invia i promemoria a una casella condivisa o a un canale della chat del team invece che a un indirizzo personale.
Indica nella documentazione un responsabile per ogni certificato, insieme a dove viene rinnovato e installato.
Le agenzie dovrebbero decidere per ogni cliente chi si occupa del rinnovo: l’agenzia, il cliente o il provider di hosting. Mettilo per iscritto, e monitora in ogni caso.
Certificati in posti meno ovvi
Alcuni certificati si nascondono al di fuori del web server a cui pensi per primo:
CDN e load balancer terminano l’HTTPS in proprio e hanno bisogno di un loro certificato.
I server di posta usano certificati per SMTP e IMAP cifrati.
Gli strumenti interni, come pannelli di amministrazione e siti di staging, usano spesso certificati separati che nessuno rinnova.
Domini dei clienti: se il tuo prodotto permette ai clienti di usare un proprio dominio, ognuno ha un certificato che può smettere di funzionare.
Aggiungili al tuo inventario man mano che li trovi. Meglio un elenco breve ma completo che uno lungo con dei buchi.
Anche i domini scadono
Un certificato valido non serve a nulla se scade il dominio stesso. I rinnovi dei domini sono di solito annuali o anche più lunghi, il che li rende ancora più facili da dimenticare. Monitora la scadenza del dominio insieme all’SSL. Vedi il monitoraggio del dominio.
Assicurarsi che l’HTTPS continui a funzionare
La scadenza è il problema più comune dei certificati, ma non l’unico. Abbina il monitoraggio dei certificati ai controlli di uptime in HTTPS, così vieni a sapere anche di:
Un certificato che non copre l’hostname, per esempio dopo l’aggiunta di un nuovo sottodominio.
Una catena incompleta che alcuni browser e client API rifiutano.
Un server che all’improvviso serve un certificato autofirmato o predefinito dopo una modifica della configurazione.
Un monitor di uptime sull’URL HTTPS segnala un errore quando la richiesta fallisce, e così fa emergere problemi come questi nel momento stesso in cui li vedrebbero i visitatori.
Quando un certificato scade davvero
Se un certificato è già scaduto:
Rinnovalo o fallo riemettere dalla tua autorità di certificazione o con il tuo client ACME.
Installalo su ogni server che serve l’hostname, compresi i load balancer e le configurazioni della CDN.
Ricarica il web server in modo che usi il nuovo certificato.
Verifica dall’esterno con un controllo HTTPS, non solo dal server stesso.
Trova la causa. Sistema il job di rinnovo, il percorso di convalida o il promemoria dimenticato, così non succede di nuovo.
Tieni informati i clienti mentre risolvi. Una pagina di stato fa sapere loro che sei al corrente del problema.
Checklist per il monitoraggio SSL
Fai l’inventario di ogni hostname che serve HTTPS, comprese API, webmail e domini che fanno solo redirect.
Aggiungi ogni hostname al monitoraggio SSL.
Imposta il primo promemoria almeno due settimane prima per i certificati rinnovati automaticamente e 30 giorni prima per quelli acquistati.
Invia i promemoria a un canale condiviso.
Monitora la scadenza degli stessi domini.
Aggiungi controlli di uptime in HTTPS per intercettare errori di hostname e di catena.
Controlla il job di rinnovo stesso con un heartbeat.
Rivedi l’elenco quando aggiungi sottodomini o cambi server.
Riepilogo
Il rinnovo automatico rende i certificati scaduti più rari, non impossibili. Monitora ciò che i visitatori ricevono davvero, fai partire i promemoria per tempo e tieni sotto controllo anche i domini e i job di rinnovo.
Il monitoraggio SSL e dei domini è incluso in ogni piano Uptimecheck. Provalo gratis per 14 giorni, senza carta di credito.