SSL-certifikatövervakning kontrollerar certifikatet som din webbplats faktiskt levererar och varnar dig i god tid innan det går ut. När ett certifikat har gått ut ersätter webbläsarna din webbplats med en helsidesvarning som ”Din anslutning är inte privat”, och de flesta besökare lämnar. Övervakning ser till att du får veta om ett kommande utgångsdatum veckor i förväg, medan det fortfarande är en punkt i kalendern och inte ett avbrott.
Varför certifikat fortfarande går ut
Certifikat har kort livslängd, och många utfärdas för 90 dagar och förnyas automatiskt. Det gör utgångna certifikat ovanligare, inte omöjliga. Förnyelsen kräver att flera saker fungerar samtidigt, och vilken som helst av dem kan sluta fungera i det tysta:
Valideringen misslyckas. Certifikatutfärdaren måste verifiera att du kontrollerar domänen, ofta genom en HTTP-förfrågan till servern eller en DNS-post. En brandväggsregel, en omdirigering eller en DNS-ändring kan blockera den.
Förnyelsejobbet stannar. Uppgiften som förnyar certifikaten är ett schemalagt jobb som alla andra. Om servern byggs om eller jobbet tas bort förnyas ingenting.
Det nya certifikatet läses inte in. Förnyelsen lyckas, men webbservern fortsätter leverera det gamla certifikatet tills den laddas om.
Servrarna glider isär. Bakom en lastbalanserare kan en server leverera ett äldre certifikat än de andra.
Manuella certifikat glöms bort. Köpta certifikat som gäller ett år förnyas av en person, och människor byter roller.
Övervakning tittar på resultatet utifrån: certifikatet som en besökare får. Det fångar alla de här fallen.
Vad du ska övervaka
Lista alla värdnamn som levererar HTTPS, inte bara huvudwebbplatsen:
Huvuddomänen och www-varianten.
Subdomäner för butik, kassa och inloggning.
API-värdnamn som används av appar och integrationer.
Webbmejl och andra webbgränssnitt på egna värdnamn.
Statussidor, hjälpcenter och landningssidor för marknadsföring.
Gamla domäner som bara omdirigerar. Omdirigeringen behöver också ett giltigt certifikat.
Bortglömda värdnamn är den vanliga källan till oväntade varningar.
Välj när påminnelserna ska komma
Den första påminnelsen ska komma tillräckligt tidigt för att du utan stress ska hinna åtgärda en misslyckad förnyelse eller köpa och installera ett nytt certifikat:
Automatiskt förnyade certifikat: en första påminnelse ungefär två veckor före utgångsdatum. Om certifikatet inte har förnyats då har förnyelsen misslyckats, och du har fortfarande tid att åtgärda det.
Köpta certifikat: börja 30 dagar eller mer i förväg, så att det finns tid för godkännande, validering och installation.
Följ upp med påminnelser närmare datumet, och skicka de sista till en gemensam kanal i stället för till en enskild persons inkorg. SSL-övervakningen i Uptimecheck skickar påminnelser innan certifikatet går ut, så att ingen behöver komma ihåg datumet.
Vem som ska få påminnelserna
Certifikatpåminnelser går ofta till den person som satte upp certifikatet för flera år sedan. När den personen byter roll eller slutar hamnar påminnelserna ingenstans. Undvik det:
Skicka påminnelser till en gemensam brevlåda eller en kanal i teamets chatt i stället för till en personlig adress.
Utse en ansvarig för varje certifikat i din dokumentation, tillsammans med var det förnyas och installeras.
Byråer bör bestämma per kund vem som förnyar: byrån, kunden eller webbhotellet. Skriv ner det, och övervaka oavsett.
Certifikat på mindre uppenbara ställen
Vissa certifikat finns utanför den webbserver du tänker på först:
CDN:er och lastbalanserare avslutar HTTPS själva och behöver ett eget certifikat.
E-postservrar använder certifikat för krypterad SMTP och IMAP.
Interna verktyg som adminpaneler och testmiljöer använder ofta separata certifikat som ingen förnyar.
Kunddomäner: om din produkt låter kunder använda en egen domän har var och en ett certifikat som kan sluta fungera.
Lägg till dem i din inventering när du hittar dem. En kort lista som är komplett slår en lång lista med luckor.
Domäner går också ut
Ett giltigt certifikat hjälper inte om själva domänen löper ut. Domäner förnyas oftast årsvis eller mer sällan, vilket gör dem ännu lättare att glömma. Övervaka domänens utgångsdatum tillsammans med SSL. Se domänövervakning.
Se till att HTTPS fortsätter fungera
Utgångna certifikat är det vanligaste certifikatproblemet, men inte det enda. Kombinera certifikatövervakningen med upptidskontroller över HTTPS, så att du även får veta om:
Ett certifikat som inte täcker värdnamnet, till exempel efter att en ny subdomän lagts till.
En ofullständig kedja som vissa webbläsare och API-klienter avvisar.
En server som plötsligt levererar ett självsignerat certifikat eller ett standardcertifikat efter en konfigurationsändring.
En upptidsmonitor på HTTPS-adressen rapporterar ett fel när förfrågan misslyckas, vilket fångar problem som dessa så fort besökarna skulle se dem.
När ett certifikat trots allt går ut
Om ett certifikat redan har gått ut:
Förnya eller utfärda om det hos din certifikatutfärdare eller med din ACME-klient.
Installera det på alla servrar som levererar värdnamnet, inklusive lastbalanserare och CDN-konfigurationer.
Ladda om webbservern så att det nya certifikatet används.
Verifiera utifrån med en HTTPS-kontroll, inte bara från själva servern.
Hitta orsaken. Rätta förnyelsejobbet, valideringsvägen eller den bortglömda påminnelsen, så att det inte händer igen.
Håll kunderna informerade medan du åtgärdar felet. En statussida visar att du känner till problemet.
Checklista för SSL-övervakning
Inventera alla värdnamn som levererar HTTPS, inklusive API:er, webbmejl och domäner som bara omdirigerar.
Lägg till varje värdnamn i SSL-övervakningen.
Lägg den första påminnelsen minst två veckor i förväg för automatiskt förnyade certifikat och 30 dagar för köpta.
Skicka påminnelserna till en gemensam kanal.
Övervaka utgångsdatum för samma domäner.
Lägg till upptidskontroller över HTTPS för att fånga fel i värdnamn och kedja.
Kontrollera själva förnyelsejobbet med en heartbeat.
Gå igenom listan när du lägger till subdomäner eller byter servrar.
Sammanfattning
Automatisk förnyelse gör utgångna certifikat ovanligare, inte omöjliga. Övervaka det som besökarna faktiskt får, börja påminna tidigt och håll även koll på domäner och förnyelsejobb.
SSL- och domänövervakning ingår i alla Uptimechecks planer. Prova gratis i 14 dagar, inget kreditkort krävs.