SSL-certifikat

Att bevaka SSL-utgång på sin egen server

Automatisk förnyelse löste det mesta av problemet och skapade en tystare version av det. Certifikat förnyar sig numera själva, ända till den dag de inte gör det. Och eftersom ingen tittar visar sig felet som en varning i besökarnas webbläsare i stället för som en punkt på en lista.

Den här sidan listar de certifikat servern presenterar, med utfärdare, utgångsdatum och antal dagar kvar. Allt under trettio dagar på ett certifikat som borde förnya sig självt är ett tecken på att förnyelsen misslyckats tyst en tid.

De vanliga orsakerna är värda att känna till. HTTP-utmaningen går sönder så snart en omdirigering eller brandväggsregel börjar fånga upp /.well-known/acme-challenge/. Förnyelsen lyckas men det nya certifikatet når aldrig besökarna eftersom webbservern inte laddades om. En domän ligger kvar i certifikatets konfiguration efter att DNS för länge sedan pekat någon annanstans, och hela förnyelsen faller på ett föråldrat namn. Utifrån ser alla tre likadana ut: ett certifikat som stillsamt räknar ned mot noll.

Hit tittar man bäst enligt schema, inte när det råkar falla en in: genomgången av certifikaten körs från cron, så att trettio dagars marginal blir en varning långt innan en besökare ser någon. Det hjälper också att känna gränsen. Monit säger att webbservern slutat svara, men säger ingenting om ett certifikat med tre dagar kvar — ett utgånget SSL fäller inte tjänsten, det fäller webbläsarens förtroende.