SSL certifikáty

Hlídat vypršení SSL na vlastním serveru

Automatická obnova vyřešila většinu tohoto problému a vytvořila jeho tišší verzi. Certifikáty se teď obnovují samy, až do dne, kdy se neobnoví. A protože se nikdo nedívá, porucha se projeví jako varování prohlížeče před očima návštěvníků, a ne jako položka v seznamu úkolů.

Tato stránka vypisuje certifikáty, které server předkládá, s vydavatelem, datem vypršení a počtem zbývajících dnů. Cokoli pod třiceti dny u certifikátu, který by se měl obnovovat sám, je známkou toho, že obnova už nějakou dobu tiše selhává.

Obvyklé příčiny stojí za znalost. Výzva HTTP se rozbije, jakmile přesměrování nebo pravidlo firewallu začne zachytávat /.well-known/acme-challenge/. Obnova uspěje, ale nový certifikát se k návštěvníkům nikdy nedostane, protože webový server nebyl znovu načten. Doména zůstane v konfiguraci certifikátu poté, co DNS dávno ukazuje jinam, a celá obnova padne na jednom zastaralém názvu. Zvenčí vypadají všechny tři stejně: certifikát klidně odpočítávající k nule.

Dívat se sem má smysl podle plánu, ne až když si člověk vzpomene: obchůzku certifikátů spouští cron, takže třicetidenní rezerva se promění ve varování dlouho předtím, než ho uvidí návštěvník. Hodí se také znát hranici. Monit oznámí, že webový server přestal odpovídat, ale o certifikátu, kterému zbývají tři dny, neřekne nic — vypršelé SSL nepoloží službu, položí důvěru prohlížeče.