SSL-certificaatmonitoring controleert het certificaat dat je website echt serveert en waarschuwt je ruim voordat het verloopt. Verloopt een certificaat, dan vervangen browsers je site door een waarschuwing over de hele pagina, zoals “Je verbinding is niet privé”, en de meeste bezoekers haken af. Met monitoring hoor je weken van tevoren dat een certificaat bijna verloopt, wanneer het nog een taak in je agenda is en geen storing.
Waarom certificaten toch verlopen
Certificaten hebben een korte looptijd, en veel worden voor 90 dagen uitgegeven en automatisch verlengd. Dat maakt verlopen zeldzamer, niet onmogelijk. Verlenging hangt af van verschillende dingen die tegelijk moeten werken, en elk daarvan kan ongemerkt stukgaan:
Validatie mislukt. De certificaatautoriteit moet controleren of jij het domein beheert, vaak via een HTTP-verzoek naar de server of een DNS-record. Een firewallregel, een redirect of een DNS-wijziging kan dat blokkeren.
De verlengtaak stopt. De taak die certificaten verlengt, is een geplande taak zoals elke andere. Wordt de server opnieuw opgebouwd of de taak verwijderd, dan wordt er niets meer verlengd.
Het nieuwe certificaat wordt niet geladen. De verlenging slaagt, maar de webserver blijft het oude certificaat serveren totdat hij wordt herladen.
Servers lopen uit de pas. Achter een load balancer kan één server een ouder certificaat serveren dan de rest.
Handmatige certificaten worden vergeten. Gekochte certificaten die een jaar geldig zijn, worden door een persoon verlengd, en mensen wisselen van functie.
Monitoring kijkt van buitenaf naar het resultaat: het certificaat dat een bezoeker ontvangt. Zo vang je al deze gevallen af.
Wat je moet monitoren
Maak een lijst van elke hostnaam die HTTPS serveert, niet alleen de hoofdwebsite:
Het hoofddomein en de www-variant.
Subdomeinen voor de shop, de checkout en het inloggen.
API-hostnamen die apps en integraties gebruiken.
Webmail en andere webfrontends op hun eigen hostnaam.
Statuspagina’s, helpcentra en marketinglandingspagina’s.
Oude domeinen die alleen doorverwijzen. Ook de redirect heeft een geldig certificaat nodig.
Vergeten hostnamen zijn de gebruikelijke bron van onverwachte waarschuwingen.
Wanneer je herinneringen wilt krijgen
De eerste herinnering moet vroeg genoeg komen om een mislukte verlenging op te lossen of zonder haast een nieuw certificaat te kopen en te installeren:
Automatisch verlengde certificaten: een eerste herinnering ongeveer twee weken voor het verlopen. Is het certificaat dan nog niet verlengd, dan is de verlenging mislukt en heb je nog tijd om het op te lossen.
Gekochte certificaten: begin 30 dagen of meer van tevoren, zodat er tijd is voor goedkeuring, validatie en installatie.
Stuur dichter bij de datum vervolgherinneringen, en stuur de laatste naar een gedeeld kanaal in plaats van naar de inbox van één persoon. SSL-monitoring in Uptimecheck stuurt herinneringen voordat een certificaat verloopt, zodat niemand de datum hoeft te onthouden.
Wie de herinneringen moet krijgen
Certificaatherinneringen gaan vaak naar de persoon die het certificaat jaren geleden heeft ingesteld. Wisselt die persoon van functie of vertrekt hij, dan komen de herinneringen nergens meer aan. Voorkom dat:
Stuur herinneringen naar een gedeelde mailbox of een chatkanaal van het team in plaats van naar een persoonlijk adres.
Wijs in je documentatie per certificaat een eigenaar aan, samen met waar het wordt verlengd en geïnstalleerd.
Bureaus moeten per klant afspreken wie verlengt: het bureau, de klant of de hostingprovider. Leg het vast, en monitor hoe dan ook.
Certificaten op minder voor de hand liggende plekken
Sommige certificaten zitten buiten de webserver waar je als eerste aan denkt:
CDN’s en load balancers handelen HTTPS zelf af en hebben een eigen certificaat nodig.
Mailservers gebruiken certificaten voor versleutelde SMTP en IMAP.
Interne tools zoals beheerpanelen en stagingsites gebruiken vaak aparte certificaten die niemand verlengt.
Domeinen van klanten: laat je product klanten hun eigen domein gebruiken, dan heeft elk daarvan een certificaat dat kan falen.
Voeg ze aan je overzicht toe zodra je ze vindt. Een korte lijst die compleet is, is beter dan een lange lijst met gaten.
Ook domeinen verlopen
Een geldig certificaat helpt niet als het domein zelf verloopt. Domeinen worden meestal per jaar of langer verlengd, waardoor ze nog makkelijker worden vergeten. Monitor het verlopen van domeinen naast SSL. Zie domeinmonitoring.
Zorgen dat HTTPS blijft werken
Verlopen is het meest voorkomende certificaatprobleem, maar niet het enige. Combineer certificaatmonitoring met uptime checks via HTTPS, zodat je ook hoort van:
Een certificaat dat de hostnaam niet dekt, bijvoorbeeld nadat je een nieuw subdomein hebt toegevoegd.
Een onvolledige keten die sommige browsers en API-clients weigeren.
Een server die na een configuratiewijziging opeens een self-signed of standaardcertificaat serveert.
Een uptime monitor op de HTTPS-URL meldt een fout wanneer het verzoek mislukt, zodat zulke problemen aan het licht komen op het moment dat bezoekers ze ook zouden zien.
Als een certificaat toch verloopt
Is een certificaat al verlopen:
Verleng het of vraag het opnieuw aan bij je certificaatautoriteit of ACME-client.
Installeer het op elke server die de hostnaam serveert, inclusief load balancers en CDN-configuraties.
Herlaad de webserver, zodat het nieuwe certificaat wordt gebruikt.
Controleer van buitenaf met een HTTPS-check, niet alleen vanaf de server zelf.
Zoek de oorzaak. Repareer de verlengtaak, het validatiepad of de vergeten herinnering, zodat het niet nog eens gebeurt.
Houd klanten op de hoogte terwijl je het oplost. Een statuspagina laat ze weten dat je van het probleem op de hoogte bent.
Checklist voor SSL-monitoring
Breng elke hostnaam in kaart die HTTPS serveert, inclusief API’s, webmail en domeinen die alleen doorverwijzen.
Voeg elke hostnaam toe aan SSL-monitoring.
Stel de eerste herinnering in op minstens twee weken van tevoren voor automatisch verlengde certificaten en 30 dagen voor gekochte.
Stuur herinneringen naar een gedeeld kanaal.
Monitor het verlopen van dezelfde domeinen.
Voeg uptime checks via HTTPS toe om fouten in hostnaam en keten op te sporen.
Controleer de verlengtaak zelf met een heartbeat.
Loop de lijst na wanneer je subdomeinen toevoegt of van server wisselt.
Samenvatting
Automatische verlenging maakt verlopen certificaten zeldzamer, niet onmogelijk. Monitor wat bezoekers echt ontvangen, begin vroeg met herinneringen en houd ook domeinen en verlengtaken in de gaten.
SSL- en domeinmonitoring zitten in elk abonnement van Uptimecheck. Probeer het 14 dagen gratis, zonder creditcard.