SSL сертификати

Наблюдение на изтичането на SSL на собствения сървър

Автоматичното подновяване реши по-голямата част от проблема и създаде негова по-тиха версия. Сертификатите вече се подновяват сами — до деня, в който спрат. И тъй като никой не гледа, повредата се проявява като предупреждение на браузъра пред очите на посетителите, а не като задача в списък.

Тази страница изброява сертификатите, които сървърът представя, с издател, дата на изтичане и брой оставащи дни. Всичко под тридесет дни при сертификат, който би трябвало да се подновява сам, е знак, че подновяването се проваля тихо вече от известно време.

Обичайните причини си струва да се знаят. Предизвикателството по HTTP се чупи веднага щом пренасочване или правило на защитната стена започне да прихваща /.well-known/acme-challenge/. Подновяването успява, но новият сертификат никога не стига до посетителите, защото уеб сървърът не е бил презареден. Домейн остава в конфигурацията на сертификата, след като DNS отдавна сочи другаде, и цялото подновяване пада заради едно остаряло име. Отвън и трите изглеждат еднакво: сертификат, който спокойно отброява към нулата.

Тук си струва да се гледа по график, а не когато се сетите: обхождането на сертификатите се пуска от cron, така че тридесет дни запас се превръщат в предупреждение много преди посетител да види такова. Полезно е да знаете и границата. Monit ще каже, че уеб сървърът е спрял да отговаря, но нищо няма да каже за сертификат, на който му остават три дни — изтекъл SSL не поваля услугата, поваля доверието на браузъра.