SSL-sertifikatovervåking sjekker sertifikatet nettstedet ditt faktisk serverer, og advarer deg i god tid før det utløper. Når et sertifikat går ut, erstatter nettleserne nettstedet ditt med en helsides advarsel som «Tilkoblingen din er ikke privat», og de fleste besøkende forsvinner. Overvåking sørger for at du får vite om et kommende utløp uker i forveien, mens det fortsatt er en oppgave i kalenderen og ikke nedetid.
Hvorfor sertifikater fortsatt utløper
Sertifikater har kort levetid, og mange utstedes for 90 dager og fornyes automatisk. Det gjør utløp sjeldnere, ikke umulig. Fornyelsen er avhengig av at flere ting virker samtidig, og hver av dem kan svikte i det stille:
Valideringen feiler. Sertifiseringsinstansen må bekrefte at du kontrollerer domenet, ofte gjennom en HTTP-forespørsel til serveren eller en DNS-post. En brannmurregel, en videresending eller en DNS-endring kan blokkere den.
Fornyelsesjobben stopper. Oppgaven som fornyer sertifikater, er en planlagt jobb som alle andre. Hvis serveren bygges på nytt eller jobben fjernes, blir ingenting fornyet.
Det nye sertifikatet lastes ikke inn. Fornyelsen lykkes, men webserveren fortsetter å servere det gamle sertifikatet til den lastes inn på nytt.
Serverne kommer ut av takt. Bak en lastbalanserer kan én server servere et eldre sertifikat enn resten.
Manuelle sertifikater blir glemt. Kjøpte sertifikater som varer i ett år, fornyes av en person, og folk bytter roller.
Overvåking ser på resultatet utenfra: sertifikatet en besøkende får. Det fanger opp alle disse tilfellene.
Hva du bør overvåke
List opp alle vertsnavn som serverer HTTPS, ikke bare hovednettstedet:
Hoveddomenet og www-varianten.
Underdomener for butikk, kasse og innlogging.
API-vertsnavn som brukes av apper og integrasjoner.
Webmail og andre webgrensesnitt på egne vertsnavn.
Statussider, hjelpesentre og landingssider for markedsføring.
Gamle domener som bare videresender. Videresendingen trenger også et gyldig sertifikat.
Glemte vertsnavn er den vanlige kilden til overraskende advarsler.
Velg når påminnelsene skal komme
Den første påminnelsen bør komme tidlig nok til at du kan rette en feilet fornyelse, eller kjøpe og installere et nytt sertifikat, uten hastverk:
Automatisk fornyede sertifikater: en første påminnelse omtrent to uker før utløp. Hvis sertifikatet ikke er fornyet innen da, har fornyelsen feilet, og du har fortsatt tid til å rette det.
Kjøpte sertifikater: begynn 30 dager eller mer i forveien, så det blir tid til godkjenning, validering og installasjon.
Følg opp med påminnelser nærmere datoen, og send de siste til en felles kanal i stedet for til én persons innboks. SSL-overvåking i Uptimecheck sender påminnelser før utløp, så ingen trenger å huske datoen.
Hvem som bør få påminnelsene
Påminnelser om sertifikater går ofte til personen som satte opp sertifikatet for mange år siden. Når den personen bytter rolle eller slutter, havner påminnelsene ingen steder. Unngå det:
Send påminnelser til en felles postkasse eller en chattekanal for teamet i stedet for en personlig adresse.
Utpek en eier for hvert sertifikat i dokumentasjonen, sammen med hvor det fornyes og installeres.
Byråer bør avgjøre per kunde hvem som fornyer: byrået, kunden eller hostingleverandøren. Skriv det ned, og overvåk uansett.
Sertifikater på mindre opplagte steder
Noen sertifikater gjemmer seg utenfor webserveren du tenker på først:
CDN-er og lastbalanserere terminerer HTTPS selv og trenger sitt eget sertifikat.
E-postservere bruker sertifikater for kryptert SMTP og IMAP.
Interne verktøy som adminpaneler og staging-nettsteder bruker ofte egne sertifikater som ingen fornyer.
Kundedomener: hvis produktet ditt lar kundene bruke sitt eget domene, har hvert av dem et sertifikat som kan svikte.
Legg dem til i oversikten etter hvert som du finner dem. En kort liste som er komplett, slår en lang liste med hull.
Domener utløper også
Et gyldig sertifikat hjelper ikke hvis selve domenet utløper. Domener fornyes som regel årlig eller sjeldnere, og det gjør dem enda lettere å glemme. Overvåk domeneutløp ved siden av SSL. Se domeneovervåking.
Sørg for at HTTPS fortsetter å virke
Utløp er det vanligste sertifikatproblemet, men ikke det eneste. Kombiner sertifikatovervåking med oppetidssjekker over HTTPS, så får du også vite om:
Et sertifikat som ikke dekker vertsnavnet, for eksempel etter at du har lagt til et nytt underdomene.
En ufullstendig kjede som enkelte nettlesere og API-klienter avviser.
En server som plutselig serverer et selvsignert sertifikat eller et standardsertifikat etter en konfigurasjonsendring.
En oppetidsovervåking på HTTPS-adressen melder en feil når forespørselen feiler, slik at problemer som disse kommer frem så snart besøkende ville sett dem.
Når et sertifikat først har utløpt
Hvis et sertifikat allerede har utløpt:
Forny eller utsted det på nytt hos sertifiseringsinstansen eller med ACME-klienten din.
Installer det på alle servere som serverer vertsnavnet, inkludert lastbalanserere og CDN-oppsett.
Last inn webserveren på nytt, slik at det nye sertifikatet tas i bruk.
Bekreft utenfra med en HTTPS-sjekk, ikke bare fra selve serveren.
Finn årsaken. Rett fornyelsesjobben, valideringsveien eller den glemte påminnelsen, slik at det ikke skjer igjen.
Hold kundene informert mens du retter det. En statusside forteller dem at du vet om problemet.
Sjekkliste for SSL-overvåking
Kartlegg alle vertsnavn som serverer HTTPS, inkludert API-er, webmail og domener som bare videresender.
Legg til hvert vertsnavn i SSL-overvåkingen.
Sett den første påminnelsen minst to uker i forveien for automatisk fornyede sertifikater og 30 dager for kjøpte.
Send påminnelser til en felles kanal.
Overvåk domeneutløp for de samme domenene.
Legg til oppetidssjekker over HTTPS for å fange opp feil i vertsnavn og kjede.
Overvåk selve fornyelsesjobben med en heartbeat.
Gå gjennom listen når du legger til underdomener eller bytter servere.
Oppsummering
Automatisk fornyelse gjør utløpte sertifikater sjeldnere, ikke umulige. Overvåk det besøkende faktisk får, start påminnelsene tidlig, og hold også øye med domener og fornyelsesjobber.
SSL- og domeneovervåking er inkludert i alle Uptimecheck-planer. Prøv gratis i 14 dager, uten kredittkort.