Certyfikaty SSL

Pilnowanie wygasania SSL na własnym serwerze

Automatyczne odnawianie rozwiązało większość tego problemu i stworzyło jego cichszą wersję. Certyfikaty odnawiają się teraz same, aż do dnia, w którym przestają. A ponieważ nikt nie patrzy, awaria ujawnia się jako ostrzeżenie przeglądarki na oczach odwiedzających, a nie jako pozycja na liście zadań.

Ta strona wypisuje certyfikaty, które serwer przedstawia, wraz z wystawcą, datą wygaśnięcia i liczbą pozostałych dni. Wszystko poniżej trzydziestu dni przy certyfikacie, który powinien odnawiać się sam, to sygnał, że odnawianie od jakiegoś czasu po cichu zawodzi.

Warto znać typowe przyczyny. Wyzwanie HTTP psuje się, gdy tylko przekierowanie albo reguła zapory zaczyna przechwytywać /.well-known/acme-challenge/. Odnowienie się udaje, ale nowy certyfikat nigdy nie dociera do odwiedzających, bo nie przeładowano serwera WWW. Domena zostaje w konfiguracji certyfikatu, choć DNS dawno wskazuje gdzie indziej, i całe odnowienie wykłada się na jednej nieaktualnej nazwie. Z zewnątrz wszystkie trzy wyglądają identycznie: certyfikat spokojnie schodzący do zera.

Warto tu zaglądać według harmonogramu, a nie wtedy, gdy się przypomni: obchód certyfikatów uruchamia cron, dzięki czemu trzydzieści dni zapasu zamienia się w ostrzeżenie na długo przed tym, nim zobaczy je odwiedzający. Przydaje się też znać granicę. Monit powie, że serwer WWW przestał odpowiadać, ale nic nie powie o certyfikacie, któremu zostały trzy dni — wygasły SSL nie kładzie usługi, kładzie zaufanie przeglądarki.