Jak sledovat vypršení SSL certifikátu

Hlavní nastavení

Nad tímto panelem jsou dvě pole a samotný panel obsahuje dalších čtyři:

• Doména / IP - hostitel, ke kterému se připojit přes TLS. Zadejte holou doménu nebo IP adresu; port 443 se předpokládá, pokud výslovně nezadáte jiný, například example.com:8443 pro certifikát doručovaný na nestandardním portu.
• Name (volitelné) - krátký štítek pro tento monitor v upozorněních, reportech a na vašem dashboardu. Ponecháte-li ho prázdné, HostTracker použije doménu.
• Monitorování povoleno - pozastaví nebo obnoví kontrolu bez jejího smazání. Vypněte ho před plánovanou výměnou certifikátu, aby krátká mezera mezi starým a novým certifikátem nevyvolala falešné upozornění.
• Jak tato kontrola funguje - sbalená informační poznámka vysvětlující mechaniku: kontrola se připojí přes TLS a přečte datum vypršení certifikátu, podle pevného plánu každých 6 hodin z vlastní monitorovací sítě HostTracker. U tohoto typu neexistuje posuvník intervalu; proč, vysvětluje odstavec níže.
• Značky - volný text pro filtrování a seskupování tohoto monitoru na vašem dashboardu.
• Úplný protokol - uloží každý jednotlivý výsledek kontroly místo seskupování po sobě jdoucích shodných výsledků. Zapněte ho, pokud chcete úplnou historii, ne jen změny stavu.
• Veřejná statistika - vytvoří veřejnou, sdílitelnou stránku statistik pro tento monitor. Nechte ho vypnutý u interního nebo neveřejného hostitele.

Proč 6 hodin, a ne interval v řádu minut: datum vypršení certifikátu se mezi kontrolami nemění. Změní se jen tehdy, když někdo vydá nový certifikát. Dotazování každých pár minut by beze smyslu opakovalo stejnou odpověď; kontrola čtyřikrát denně je stále dost rychlá na to, aby zachytila nepovedenou obnovu ještě ve stejný pracovní den. Nemusíte ani nastavovat předstih, abyste vypršení předešli: HostTracker automaticky posílá informativní připomínku 30, 7 a 1 den před datem vypršení certifikátu, každému kontaktu, kterému jste níže dali odběr Up (na každém kanálu kromě hlasových hovorů, které jsou vyhrazené pro skutečné výpadky). Tyto připomínky jsou oddělené od upozornění Down. Certifikát, který je stále platný, ale blíží se vypršení, je připomínka, ne selhání; kontrola přejde do Down teprve, jakmile certifikát skutečně vyprší.

Odběry upozornění

Jde o stejný panel odběrů, jaký používá každý typ kontroly. Přepněte Přihlásit všechny kontakty k odběru událostí Up/Down, abyste najednou přihlásili každý kontakt na vašem účtu k oběma událostem, nebo použijte vyhledávací pole a přepínače Down / Up / Repeat u jednotlivých kontaktů a sestavte konkrétní seznam:

• Down - upozorněn, když certifikát vypršel.
• Up - upozorněn, když se kontrola po Down zotaví (byl nainstalován nový certifikát), a konkrétně u tohoto typu kontroly je to i příjemce automatických připomínek vypršení 30/7/1 den popsaných výše.
• Repeat - dál posílá upozornění Down podle plánu, dokud certifikát zůstává vypršelý, místo aby upozornil jednou a pak mlčel.

Vypršelý veřejně dostupný certifikát je přesně ten typ selhání, který stojí důvěru ve chvíli, kdy se prohlížeči návštěvníka zobrazí varovná stránka, takže ponechat tuto sekci prázdnou popírá smysl kontroly. Zaznamená vypršení a nikomu nic neřekne.

Odběry zpráv

Zprávy jsou pravidelná shrnutí, ne upozornění vyvolaná událostí, užitečná, pokud někdo ve vašem týmu chce pevný týdenní nebo měsíční přehled o stavu certifikátů místo toho, aby dostával upozornění hned, jakmile něco vyprší. Chodí jen na e-mailové kontakty. Nechte tuto sekci vypnutou, pokud výše uvedené Odběry upozornění už pokrývají, kdo se to má dozvědět.

Praktický příklad

Provozujete stránku pokladny na pay.example.com za certifikátem, který se automaticky obnovuje přes Let's Encrypt, ale už jste se jednou spálili s úlohou obnovy, která selhala, aniž by to komukoli oznámila. Vytvořte monitor vypršení certifikátu pro pay.example.com, nechte Monitorování povoleno zapnuté, přidejte značku payments a přihlaste svůj pohotovostní e-mail a Slack kontakty k Up i Down (Up proto, aby dostávali i připomínky 30/7/1 den). Úplný protokol vynechte, pokud nechcete úplnou historii po jednotlivých kontrolách. U kontroly, která mění stav třeba dvakrát ročně, se seskupený pohled čte snáz. Nic dalšího netřeba nastavovat: kontrola od teď poběží každých 6 hodin a o blížící se obnově uslyšíte třikrát zvlášť, než se stane výpadkem.

Řešení potíží

• Monitor ukazuje Down, ale web se v prohlížeči normálně načte. Prohlížeče certifikáty ukládají do mezipaměti a často tolerují problém s řetězcem, který čerstvý TLS handshake netoleruje. Ověřte to bezplatným nástrojem pro SSL kontrolu z čisté relace, nebo zkontrolujte, zda se certifikát na přesně tomto host:port změnil.
• Přidali jste port, ale kontrola se stále připojuje na 443. Port musí být součástí samotného pole Doména / IP, zapsaný jako host:port. Pro tento typ kontroly neexistuje samostatné pole pro port.
• Nedošla připomínka 30 nebo 7 dní předem. Připomínky chodí jen kontaktům s odběrem Up na tomto konkrétním monitoru. Nejprve zaškrtněte toto políčko, poté ověřte, že kanál kontaktu není hlasový hovor, který tato hlášení nikdy nenese.
• Certifikát jste obnovili, ale stále vidíte zastaralé datum vypršení. Kontrola běží podle vlastního 6hodinového plánu a není navázaná na vaše nasazení; počkejte na další naplánovaný běh, nebo otevřete monitor a použijte jeho akci Zkontrolovat hned, pokud ji váš plán obsahuje.
• Chtěli jste vlastně sledovat registraci domény, ne certifikát. Špatný typ kontroly; viz další sekce.

Související

• Všechny návody k monitoringu - centrální místo pro každý typ kontroly HostTracker.
• Jak zkontrolovat datum vypršení SSL certifikátu - jednorázová verze této kontroly, přes prohlížeč i příkazovou řádku.
• Kontroly domény a TLS - produktová stránka pokrývající monitoring vypršení jak certifikátu, tak domény, včetně celého žebříčku připomínek 30/7/1 den a toho, čím se liší od skutečného upozornění Down.
• Bezplatný nástroj pro SSL kontrolu - jednorázová kontrola certifikátu bez nutnosti účtu, užitečná pro ověření toho, co monitor hlásí.
• Návod k vypršení domény - kontrola pro propadlou registraci, jiné selhání s jiným vlastníkem.
• Návod k HTTP kontrole - vypršení certifikátu je dostupné i jako přiložená dlaždice u monitoru Http, Port nebo API, běží spolu s danou kontrolou místo jako vlastní samostatný monitor.