SSL 証明書

自分のサーバーで SSL の期限を見張る

自動更新はこの問題の大半を解き、その静かな別版を生みました。証明書はいまや自ら更新していきます。更新しなくなるその日までは。そして誰も見ていないので、不具合は作業一覧の一項目としてではなく、訪問者の目の前に出るブラウザの警告として姿を現します。

このページはサーバーが差し出す証明書を、発行者・失効日・残り日数とともに並べます。自ら更新するはずの証明書で残りが三十日を切っているなら、それは更新がしばらく前から静かに失敗している合図です。

よくある原因は知っておく値打ちがあります。転送やファイアウォールの規則が /.well-known/acme-challenge/ を横取りしはじめた途端に HTTP の検証は折れます。あるいは更新は成功したのに、ウェブサーバーが読み直されていないせいで新しい証明書が訪問者に届かない。あるいは DNS がとうに別の場所を指しているのに、ドメインが証明書の設定に残ったままで、時代遅れの名前ひとつのせいで更新まるごとが倒れる。外から見れば三つとも同じに映ります。静かにゼロへ数え下りていく証明書です。

ここは思い出したときではなく、決まった間隔で見るのが筋です。証明書の巡回は cron から動くので、三十日の余裕は訪問者が何かを目にするずっと前に警告へと変わります。担当の境目を知っておくのも役に立ちます。Monit は Web サーバーが応答しなくなったことは伝えますが、残り三日の証明書については何も言いません。SSL の期限切れはサービスを落とすのではなく、ブラウザーの信頼を落とすからです。