Monitorowanie certyfikatów SSL sprawdza certyfikat, który Twoja strona faktycznie serwuje, i ostrzega Cię z dużym wyprzedzeniem przed jego wygaśnięciem. Gdy certyfikat traci ważność, przeglądarki zastępują Twoją stronę pełnoekranowym ostrzeżeniem, np. „Połączenie nie jest prywatne”, a większość odwiedzających odchodzi. Dzięki monitorowaniu dowiadujesz się o zbliżającym się wygaśnięciu kilka tygodni wcześniej, gdy to jeszcze zadanie w kalendarzu, a nie awaria.
Dlaczego certyfikaty wciąż wygasają
Certyfikaty mają krótki okres ważności – wiele z nich wystawia się na 90 dni i odnawia automatycznie. Dzięki temu wygaśnięcie zdarza się rzadziej, ale nie jest niemożliwe. Odnowienie wymaga, by kilka rzeczy działało jednocześnie, a każda z nich może po cichu zawieść:
Walidacja nie przechodzi. Urząd certyfikacji musi potwierdzić, że kontrolujesz domenę, często przez żądanie HTTP do serwera lub rekord DNS. Reguła firewalla, przekierowanie albo zmiana DNS mogą to zablokować.
Zadanie odnawiania przestaje działać. Zadanie, które odnawia certyfikaty, to zaplanowane zadanie jak każde inne. Jeśli serwer zostanie postawiony od nowa albo zadanie zostanie usunięte, nic się nie odnowi.
Nowy certyfikat nie zostaje załadowany. Odnowienie się udaje, ale serwer WWW serwuje stary certyfikat, dopóki nie zostanie przeładowany.
Serwery się rozjeżdżają. Za load balancerem jeden serwer może serwować starszy certyfikat niż pozostałe.
O ręcznych certyfikatach się zapomina. Kupione certyfikaty ważne przez rok odnawia człowiek, a ludzie zmieniają stanowiska.
Monitorowanie patrzy na efekt z zewnątrz: na certyfikat, który otrzymuje odwiedzający. Dzięki temu wyłapuje wszystkie te przypadki.
Co monitorować
Wypisz każdą nazwę hosta obsługującą HTTPS, nie tylko główną stronę:
Domenę główną i wariant z www.
Subdomeny sklepu, kasy i logowania.
Nazwy hostów API używane przez aplikacje i integracje.
Pocztę przez WWW i inne interfejsy webowe pod własnymi nazwami hostów.
Strony statusu, centra pomocy i marketingowe strony docelowe.
Stare domeny, które tylko przekierowują. Przekierowanie też wymaga ważnego certyfikatu.
To zapomniane nazwy hostów zwykle stoją za zaskakującymi ostrzeżeniami.
Jak dobrać terminy przypomnień
Pierwsze przypomnienie powinno przyjść na tyle wcześnie, by bez pośpiechu naprawić nieudane odnowienie albo kupić i zainstalować nowy certyfikat:
Certyfikaty odnawiane automatycznie: pierwsze przypomnienie około dwóch tygodni przed wygaśnięciem. Jeśli do tego czasu certyfikat nie został odnowiony, odnowienie się nie powiodło, a Ty wciąż masz czas, by to naprawić.
Kupione certyfikaty: zacznij co najmniej 30 dni wcześniej, by zostawić czas na akceptację, walidację i instalację.
Potem wysyłaj kolejne przypomnienia bliżej terminu, a ostatnie kieruj na wspólny kanał, a nie do skrzynki jednej osoby. Monitorowanie SSL w Uptimecheck wysyła przypomnienia przed wygaśnięciem, więc nikt nie musi pamiętać daty.
Kto powinien dostawać przypomnienia
Przypomnienia o certyfikatach często trafiają do osoby, która lata temu skonfigurowała certyfikat. Gdy ta osoba zmienia stanowisko lub odchodzi z firmy, przypomnienia trafiają w próżnię. Unikniesz tego tak:
Wysyłaj przypomnienia na wspólną skrzynkę lub kanał czatu zespołu zamiast na prywatny adres.
W dokumentacji przypisz każdemu certyfikatowi właściciela i zapisz, gdzie certyfikat jest odnawiany i instalowany.
Agencje powinny ustalić dla każdego klienta, kto odnawia certyfikat: agencja, klient czy dostawca hostingu. Zapisz to i monitoruj niezależnie od ustaleń.
Certyfikaty w mniej oczywistych miejscach
Niektóre certyfikaty kryją się poza serwerem WWW, o którym myślisz w pierwszej kolejności:
CDN-y i load balancery same terminują HTTPS i potrzebują własnego certyfikatu.
Serwery pocztowe używają certyfikatów do szyfrowanego SMTP i IMAP.
Narzędzia wewnętrzne, takie jak panele administracyjne i strony staging, często mają osobne certyfikaty, których nikt nie odnawia.
Domeny klientów: jeśli Twój produkt pozwala klientom używać własnej domeny, każda z nich ma certyfikat, który może zawieść.
Dopisuj je do spisu, gdy je znajdziesz. Krótka, ale kompletna lista jest lepsza niż długa z lukami.
Domeny też wygasają
Ważny certyfikat nic nie da, jeśli wygaśnie sama domena. Domeny odnawia się zwykle co rok lub rzadziej, przez co jeszcze łatwiej o nich zapomnieć. Monitoruj wygaśnięcie domen razem z SSL. Zobacz monitorowanie domen.
Jak zadbać o to, by HTTPS działało dalej
Wygaśnięcie to najczęstszy problem z certyfikatami, ale nie jedyny. Połącz monitorowanie certyfikatów z testami dostępności przez HTTPS, by dowiadywać się także o:
Certyfikacie, który nie obejmuje nazwy hosta, np. po dodaniu nowej subdomeny.
Niekompletnym łańcuchu, który część przeglądarek i klientów API odrzuca.
Serwerze, który po zmianie konfiguracji nagle serwuje certyfikat samopodpisany lub domyślny.
Monitor dostępności ustawiony na adres HTTPS zgłasza błąd, gdy żądanie się nie powiedzie, dzięki czemu takie problemy wychodzą na jaw w chwili, gdy zobaczyliby je odwiedzający.
Gdy certyfikat jednak wygaśnie
Jeśli certyfikat już wygasł:
Odnów go lub wystaw ponownie u swojego urzędu certyfikacji lub w kliencie ACME.
Zainstaluj go na każdym serwerze, który obsługuje daną nazwę hosta, łącznie z load balancerami i konfiguracjami CDN.
Przeładuj serwer WWW, by zaczął używać nowego certyfikatu.
Sprawdź z zewnątrz testem HTTPS, a nie tylko z samego serwera.
Znajdź przyczynę. Napraw zadanie odnawiania, ścieżkę walidacji lub zapomniane przypomnienie, by sytuacja się nie powtórzyła.
Podczas naprawy informuj klientów na bieżąco. Strona statusu pokazuje im, że wiesz o problemie.
Lista kontrolna monitorowania SSL
Spisz każdą nazwę hosta obsługującą HTTPS, w tym API, pocztę przez WWW i domeny, które tylko przekierowują.
Dodaj każdą nazwę hosta do monitorowania SSL.
Ustaw pierwsze przypomnienie co najmniej dwa tygodnie wcześniej dla certyfikatów odnawianych automatycznie i 30 dni wcześniej dla kupionych.
Wysyłaj przypomnienia na wspólny kanał.
Monitoruj wygaśnięcie tych samych domen.
Dodaj testy dostępności przez HTTPS, by wyłapywać błędy nazwy hosta i łańcucha.
Sprawdzaj samo zadanie odnawiania za pomocą heartbeatu.
Przeglądaj listę, gdy dodajesz subdomeny lub zmieniasz serwery.
Podsumowanie
Automatyczne odnawianie sprawia, że certyfikaty wygasają rzadziej, ale nie wyklucza tego. Monitoruj to, co faktycznie otrzymują odwiedzający, zaczynaj przypomnienia wcześnie i miej na oku również domeny oraz zadania odnawiania.
Monitorowanie SSL i domen jest dostępne w każdym planie Uptimecheck. Wypróbuj za darmo przez 14 dni, bez karty kredytowej.