SSL сертификаты

Следить за истечением SSL на своём сервере

Автоматическое продление решило бо́льшую часть проблемы и создало более тихую её версию. Сертификаты теперь продлевают себя сами — до того дня, когда перестают. И поскольку никто не смотрит, сбой проявляется предупреждением браузера на глазах у посетителей, а не пунктом в списке дел.

Эта страница перечисляет сертификаты, которые отдаёт сервер, с издателем, датой истечения и числом оставшихся дней. Всё, что ниже тридцати дней у сертификата, который должен продлеваться сам, — признак того, что продление уже какое-то время тихо не срабатывает.

Обычные причины стоит знать. Проверка по HTTP ломается, едва перенаправление или правило брандмауэра начинает перехватывать /.well-known/acme-challenge/. Продление проходит, но новый сертификат никогда не доходит до посетителей, потому что веб-сервер не перезагрузили. Домен остаётся в конфигурации сертификата после того, как DNS давно указывает в другое место, и всё продление падает на одном устаревшем имени. Снаружи все три выглядят одинаково: сертификат, спокойно отсчитывающий к нулю.

Смотреть сюда стоит по расписанию, а не когда вспомнится: обход сертификатов идёт по cron, поэтому запас в тридцать дней превращается в предупреждение задолго до того, как его увидит посетитель. Стоит понимать и границу ответственности: Monit скажет, что веб-сервер не отвечает, но о сертификате, которому осталось три дня, не скажет ничего — истечение SSL не роняет службу, оно роняет доверие браузера.