Certificati SSL

Sorvegliare la scadenza SSL sul proprio server

Il rinnovo automatico ha risolto quasi tutto il problema e ne ha creato una versione più silenziosa. I certificati ora si rinnovano da soli, fino al giorno in cui smettono di farlo. E poiché nessuno guarda, il guasto si manifesta come un avviso del browser davanti ai visitatori invece che come una voce su una lista di cose da fare.

Questa pagina elenca i certificati che il server presenta, con emittente, data di scadenza e giorni rimanenti. Qualsiasi valore sotto i trenta giorni su un certificato che dovrebbe rinnovarsi da solo segnala un rinnovo che fallisce in silenzio già da un po’.

Vale la pena conoscere le cause abituali. La sfida HTTP si rompe quando una redirezione o una regola del firewall inizia a intercettare /.well-known/acme-challenge/. Il rinnovo riesce ma il nuovo certificato non raggiunge mai i visitatori perché il server web non è stato ricaricato. Un dominio resta nella configurazione del certificato dopo che il DNS si è spostato altrove, e l’intero rinnovo fallisce per un nome obsoleto. Visti da fuori i tre casi sono identici: un certificato che scende tranquillamente verso zero.

Conviene guardare qui secondo un calendario, non quando capita: la passata sui certificati parte da cron, così trenta giorni di margine diventano un avviso molto prima che un visitatore ne veda uno. Vale anche la pena sapere dove passa il confine. Monit segnalerà che il server web ha smesso di rispondere, ma non dirà nulla di un certificato cui restano tre giorni: un SSL scaduto non manda giù il servizio, manda giù la fiducia del browser.