Certificats SSL

Surveiller l’expiration SSL depuis son propre serveur

Le renouvellement automatique a réglé l’essentiel du problème et en a créé une version plus discrète. Les certificats se renouvellent désormais tout seuls, jusqu’au jour où ils ne le font plus. Et comme personne ne regarde, la panne se manifeste par un avertissement de navigateur devant les visiteurs plutôt que par une tâche sur une liste.

Cette page recense les certificats que le serveur présente, avec l’émetteur, la date d’expiration et les jours restants. Tout ce qui passe sous trente jours pour un certificat censé se renouveler seul signale un renouvellement qui échoue en silence depuis un moment.

Les causes habituelles méritent d’être connues. Le challenge HTTP casse dès qu’une redirection ou une règle de pare-feu intercepte /.well-known/acme-challenge/. Le renouvellement réussit mais le nouveau certificat n’atteint jamais les visiteurs parce que le serveur web n’a pas été rechargé. Un domaine reste dans la configuration du certificat alors que le DNS pointe ailleurs depuis longtemps, et tout le renouvellement échoue sur un nom obsolète. Vus de l’extérieur, ces trois cas sont identiques : un certificat qui descend tranquillement vers zéro.

Mieux vaut regarder ici selon un calendrier plutôt qu'au gré des occasions : le passage sur les certificats est lancé par cron, si bien que trente jours de marge deviennent un avertissement bien avant qu'un visiteur n'en voie un. Il est utile aussi de connaître la limite. Monit signalera que le serveur web ne répond plus, mais ne dira rien d'un certificat auquel il reste trois jours : un SSL expiré ne fait pas tomber le service, il fait tomber la confiance du navigateur.