SSL tanúsítványok

Az SSL lejáratának figyelése a saját szerverén

Az automatikus megújítás a probléma nagy részét megoldotta, és létrehozta annak csendesebb változatát. A tanúsítványok mostantól maguktól újulnak meg, egészen addig a napig, amíg nem. És mivel senki sem figyeli, a hiba böngészőfigyelmeztetésként jelenik meg a látogatók szeme előtt, nem pedig tételként egy teendőlistán.

Ez az oldal felsorolja a szerver által bemutatott tanúsítványokat kibocsátóval, lejárati dátummal és a hátralévő napok számával. Bármi harminc nap alatt egy olyan tanúsítványnál, amelynek magától kellene megújulnia, arra utal, hogy a megújítás már egy ideje csendben hibázik.

A szokásos okokat érdemes ismerni. A HTTP-kihívás eltörik, amint egy átirányítás vagy tűzfalszabály elkezdi elfogni a /.well-known/acme-challenge/ útvonalat. A megújítás sikerül, de az új tanúsítvány soha nem jut el a látogatókhoz, mert a webszervert nem töltötték újra. Egy tartomány bent marad a tanúsítvány konfigurációjában azután is, hogy a DNS régen máshová mutat, és az egész megújítás elbukik egyetlen elavult néven. Kívülről mindhárom ugyanúgy néz ki: egy tanúsítvány, amely csendesen közelít a nullához.

Ide terv szerint érdemes benézni, nem akkor, amikor éppen eszedbe jut: a tanúsítványok végigjárását a cron indítja, így a harmincnapos tartalék jóval azelőtt figyelmeztetéssé válik, hogy egy látogató bármit is látna. Hasznos ismerni a határt is. A Monit megmondja, hogy a webkiszolgáló nem válaszol többé, de egy három napja hátralévő tanúsítványról semmit sem mond — a lejárt SSL nem a szolgáltatást dönti le, hanem a böngésző bizalmát.