SSL-Zertifikate

SSL-Ablauf auf dem eigenen Server im Blick behalten

Automatische Erneuerung hat das Problem größtenteils gelöst und eine leisere Fassung davon geschaffen. Zertifikate erneuern sich jetzt selbst — bis zu dem Tag, an dem sie es nicht tun. Und weil niemand hinsieht, zeigt sich der Fehler als Browserwarnung vor Besuchern statt als Aufgabe auf einer Liste.

Diese Seite listet die Zertifikate, die der Server ausliefert, mit Aussteller, Ablaufdatum und verbleibenden Tagen. Alles unter dreißig Tagen bei einem Zertifikat, das sich automatisch erneuern sollte, heißt: Die Erneuerung scheitert seit einer Weile stillschweigend.

Die üblichen Ursachen lohnt es zu kennen. Die HTTP-Challenge bricht, sobald eine Weiterleitung oder Firewall-Regel /.well-known/acme-challenge/ abfängt. Die Erneuerung gelingt, doch das neue Zertifikat erreicht die Besucher nie, weil der Webserver nicht neu geladen wurde. Eine Domain bleibt in der Zertifikatskonfiguration, nachdem das DNS längst woanders zeigt — und die ganze Erneuerung scheitert an einem veralteten Namen. Von außen sehen alle drei gleich aus: ein Zertifikat, das still auf null zuläuft.

Hier lohnt ein Blick nach Plan statt dann, wenn es einem einfällt: Der Durchlauf der Zertifikate läuft über cron, sodass dreißig Tage Puffer zu einer Warnung werden, lange bevor ein Besucher eine zu sehen bekommt. Ebenso hilfreich ist es, die Zuständigkeitsgrenze zu kennen. Monit meldet, dass der Webserver nicht mehr antwortet, sagt aber nichts über ein Zertifikat mit drei verbleibenden Tagen — ein abgelaufenes SSL legt den Dienst nicht lahm, es legt das Vertrauen des Browsers lahm.