SSL-sertifikater

Å overvåke SSL-utløp på sin egen server

Automatisk fornying løste det meste av problemet og skapte en stillere versjon av det. Sertifikater fornyer seg nå selv, helt til den dagen de ikke gjør det. Og fordi ingen ser etter, viser feilen seg som en advarsel i besøkendes nettleser i stedet for som et punkt på en liste.

Denne siden lister sertifikatene serveren presenterer, med utsteder, utløpsdato og antall dager igjen. Alt under tretti dager på et sertifikat som skulle fornyet seg selv er et tegn på at fornyingen har feilet stille en stund.

De vanlige årsakene er verdt å kjenne. HTTP-utfordringen brekker så snart en omdirigering eller brannmurregel begynner å fange opp /.well-known/acme-challenge/. Fornyingen lykkes, men det nye sertifikatet når aldri de besøkende fordi webserveren ikke ble lastet på nytt. Et domene blir stående i sertifikatoppsettet etter at DNS for lengst peker et annet sted, og hele fornyingen faller på ett foreldet navn. Utenfra ser alle tre like ut: et sertifikat som stille teller ned mot null.

Hit ser man best etter en plan, ikke når det tilfeldigvis faller en inn: gjennomgangen av sertifikatene kjøres fra cron, slik at tretti dagers margin blir en advarsel lenge før en besøkende ser noen. Det hjelper også å kjenne grensen. Monit sier at webserveren har sluttet å svare, men sier ingenting om et sertifikat med tre dager igjen — et utløpt SSL feller ikke tjenesten, det feller nettleserens tillit.