SSL-сертифікати

Стежити за закінченням SSL на власному сервері

Автоматичне поновлення розв’язало більшу частину проблеми і створило її тихішу версію. Сертифікати тепер поновлюються самі — аж до дня, коли перестають. А оскільки ніхто не дивиться, збій показує себе як попередження браузера перед очима відвідувачів, а не як пункт у списку справ.

Ця сторінка перелічує сертифікати, які подає сервер, із видавцем, датою завершення й кількістю днів, що лишилися. Усе нижче тридцяти днів у сертифіката, який мав би поновлюватися сам, — знак, що поновлення вже якийсь час тихо не вдається.

Звичні причини варто знати. Виклик HTTP ламається щойно переспрямування чи правило брандмауера починає перехоплювати /.well-known/acme-challenge/. Поновлення вдається, але новий сертифікат ніколи не доходить до відвідувачів, бо вебсервер не перезавантажили. Домен лишається в налаштуваннях сертифіката після того, як DNS давно вказує деінде, і все поновлення падає на одному застарілому імені. Ззовні всі три виглядають однаково: сертифікат, що спокійно відлічує до нуля.

Дивитися сюди варто за розкладом, а не коли згадається: обхід сертифікатів іде за cron, тож запас у тридцять днів перетворюється на попередження задовго до того, як його побачить відвідувач. Варто розуміти й межу відповідальності: Monit скаже, що вебсервер не відповідає, але про сертифікат, якому лишилося три дні, не скаже нічого — вичерпаний SSL не роняє службу, він роняє довіру браузера.