SSL 인증서

내 서버에서 SSL 만료 지켜보기

자동 갱신은 이 문제의 대부분을 풀었고, 그보다 조용한 판본을 하나 만들어 냈습니다. 이제 인증서는 스스로를 갱신합니다. 그러지 않게 되는 그날까지는 말입니다. 그리고 아무도 보고 있지 않기에, 고장은 할 일 목록의 한 줄이 아니라 방문자의 눈앞에 뜨는 브라우저 경고로 모습을 드러냅니다.

이 페이지는 서버가 내놓는 인증서를 발급자, 만료일, 남은 날수와 함께 나열합니다. 스스로 갱신되어야 할 인증서에서 남은 날수가 서른 아래라면, 갱신이 이미 얼마 전부터 소리 없이 실패하고 있다는 신호입니다.

흔한 원인은 알아 둘 값어치가 있습니다. 어떤 전달이나 방화벽 규칙이 /.well-known/acme-challenge/를 가로채기 시작하는 순간 HTTP 검증은 깨집니다. 또는 갱신은 성공했는데 웹 서버를 다시 읽어 들이지 않아 새 인증서가 방문자에게 끝내 닿지 않기도 합니다. 또는 DNS가 진작 다른 곳을 가리키는데도 어떤 도메인이 인증서 설정에 남아 있어, 낡은 이름 하나 때문에 갱신 전체가 무너지기도 합니다. 바깥에서 보면 셋 다 똑같아 보입니다. 조용히 0을 향해 내려가는 인증서 말입니다.

여기는 생각날 때가 아니라 일정에 맞춰 보는 편이 낫습니다. 인증서 순회는 cron에서 돌기 때문에, 삼십 일의 여유는 방문자가 무엇인가를 보기 훨씬 전에 경고로 바뀝니다. 경계가 어디인지 알아 두는 것도 도움이 됩니다. Monit은 웹 서버가 응답을 멈췄다고 알려 주지만, 사흘 남은 인증서에 대해서는 아무 말도 하지 않습니다. SSL 만료는 서비스를 무너뜨리는 것이 아니라 브라우저의 신뢰를 무너뜨리기 때문입니다.