SSL certifikáty

Strážiť vypršanie SSL na vlastnom serveri

Automatická obnova vyriešila väčšinu tohto problému a vytvorila jeho tichšiu verziu. Certifikáty sa teraz obnovujú samy, až do dňa, keď sa neobnovia. A pretože sa nikto nepozerá, porucha sa prejaví ako varovanie prehliadača pred očami návštevníkov, a nie ako položka v zozname úloh.

Táto stránka vypisuje certifikáty, ktoré server predkladá, s vydavateľom, dátumom vypršania a počtom zostávajúcich dní. Čokoľvek pod tridsiatimi dňami pri certifikáte, ktorý by sa mal obnovovať sám, je znakom toho, že obnova už nejaký čas ticho zlyháva.

Obvyklé príčiny stoja za znalosť. Výzva HTTP sa rozbije, len čo presmerovanie alebo pravidlo firewallu začne zachytávať /.well-known/acme-challenge/. Obnova uspeje, ale nový certifikát sa k návštevníkom nikdy nedostane, pretože webový server nebol znova načítaný. Doména zostane v konfigurácii certifikátu potom, čo DNS dávno ukazuje inam, a celá obnova padne na jednom zastaranom názve. Zvonku vyzerajú všetky tri rovnako: certifikát pokojne odpočítavajúci k nule.

Pozerať sa sem má zmysel podľa plánu, nie až keď si človek spomenie: obchôdzku certifikátov spúšťa cron, takže tridsaťdňová rezerva sa premení na varovanie dávno predtým, než ho uvidí návštevník. Hodí sa poznať aj hranicu. Monit oznámi, že webový server prestal odpovedať, ale o certifikáte, ktorému zostávajú tri dni, nepovie nič — vypršané SSL nepoloží službu, položí dôveru prehliadača.