Sledování expirace SSL certifikátu

Kontrola vypršení domény sleduje stav registrace vaší domény i termín obnovy a s dostatečným předstihem vám pošle upozornění, abyste stihli doménu obnovit dřív, než registrace propadne. Záleží na tom proto, že jakmile doména vyprší, následky mohou sahat od úplného výpadku webu až po to, že si doménu zaregistruje kdokoli jiný – včetně spekulantů, kteří vám ji pak s radostí prodají zpět za mnohonásobek ceny. Zmeškaná obnova obvykle nevzniká z nedbalosti, ale z banálních důvodů – zastaralý fakturační e-mail, tiše selhaná platba automatické obnovy nebo prosté přehlédnutí termínu. Sledování domén od HostTracker kontroluje stav registrace přímo a upozorní vás na zvolené kontakty, jakmile se blíží datum vypršení, bez ohledu na to, zda a jaké připomínky posílá váš registrátor. Protože propadlá doména dokáže jediným zmeškaným termínem smazat roky nastřádané SEO hodnoty, nezávislé hlídání data registrace je málo náročná, ale zásadní pojistka.

Ano. Každý běh provede skutečný TLS handshake, takže kromě data vypršení ověří i to, že se certifikát řetězí k důvěryhodnému kořeni (chybějící mezilehlý certifikát je nejčastější příčina toho, že certifikát funguje ve vašem prohlížeči, ale všude jinde selže), že je hostname, který kontrolujete, skutečně pokrytý seznamem alternativních jmen certifikátu (SAN), a že certifikát nebyl odvolán – odvolání se ověřuje proti službě OCSP nebo CRL vydávající autority. Kterýkoli z těchto problémů vyvolá stejné bezpečnostní varování v prohlížeči jako přímo vypršelý certifikát, a to i když je do data expirace ještě daleko, takže kontrola jen samotného data vypršení by přehlédla reálné problémy, které vidí návštěvníci. U každého výsledku se navíc zaznamenává vyjednaná verze protokolu TLS, šifra, vydavatel, sériové číslo a celý seznam SAN, a pokud chcete, aby slabý protokol nebo slabá šifra kontrolu rovnou i shodily místo pouhého nahlášení, jsou na to samostatné volitelné přepínače přísnosti na monitoru HTTPS. Díky tomu získáte mnohem ucelenější obraz o zdraví certifikátu než z jednorázového SSL testeru, protože konfigurace se může změnit, aniž by se změnilo datum vypršení.

HostTracker posílá připomínky ve třech bodech: 30 dní, 7 dní a 1 den před datem vypršení, stejně u SSL/TLS certifikátů jako u registrací domén. Tento třístupňový žebříček je záměrný, ne jediné varování – 30 dní je dost času na vystavení objednávky nebo opravu nefunkční automatické obnovy, 7 dní je připomínka, která zachytí tiket, kterého si nikdo nevšiml, a 1 den je poslední volání, než prohlížeče začnou vašim návštěvníkům zobrazovat bezpečnostní varování. Tyto dny jsou pevně dané a nejde je pro jednotlivý monitor měnit. Připomínka je něco jiného než skutečné selhání: pokud je certifikát právě teď skutečně <em>neplatný</em> – vypršel, byl odvolán, řetězí se k nedůvěryhodnému kořeni nebo byl vydán pro jiný hostname – jde o neúspěšnou kontrolu, která se eskaluje přes vaše běžné kontakty pro upozornění na výpadek, se zpožděním, jaké si každý z nich zvolil: okamžitě, nebo po 3, 5, 15, 30 či 60 minutách, nebo po 3, 6, 12 či 24 hodinách. Upozornění se odesílají přes devět kanálů, které HostTracker podporuje – e-mail, SMS, hlasový hovor, webhook, Slack, web push a messengery Telegram, Discord a Viber. Obnovu certifikátu a obnovu domény obvykle mají na starosti různí lidé, takže na seznam kontaktů dejte oba – připomínka, která dorazí jen do schránky toho, kdo monitor nastavil, je připomínka, která se přehlédne.

Trvale bezplatný plán HostTracker sleduje zdarma dva weby s kontrolou každých 30 minut a 30denní zkušební verze se všemi funkcemi odemkne veškeré typy kontrol, včetně sledování domény a SSL, až pro 100 monitorů s intervalem kontrol 1 minuta a bez nutnosti zadávat platební kartu. Díky tomu si můžete sledování expirace certifikátu a domény vyzkoušet na svých skutečných doménách ještě předtím, než se rozhodnete pro placený plán. Pokud se rozhodnete službu používat dlouhodobě s častějšími kontrolami nebo více sledovanými doménami, placené plány začínají zhruba na 5 dolarech měsíčně. Problémy s certifikátem nebo doménou se sice nedějí často, ale když nastanou, mají velký dopad – proto i nižší frekvence kontrol v bezplatném plánu obvykle stačí zachytit blížící se datum vypršení dostatečně včas. Je to typ sledování, které je levné provozovat a nákladné zanedbat.

Ano. Cíl monitoru pro expiraci certifikátu se normalizuje na hostname a port, přičemž port se automaticky nastaví na 443 jen tehdy, pokud žádný neuvedete – zapište ho jako example.com:8443 a kontrola se připojí tam. Kontrola otevře TCP spojení na daný hostname a port a okamžitě provede TLS handshake, přičemž hostname posílá přes SNI, takže server hostující více certifikátů na jedné adrese vrátí ten správný. To znamená, že tímto způsobem lze sledovat jakoukoli službu, která komunikuje přímo přes TLS, ne jen webové servery: alternativní HTTPS port, API bránu nebo poštovní službu na portu s implicitním TLS. Jedinou situací, kterou tento typ kontroly neobsluhuje, je STARTTLS – protokoly, které začínají v čistém textu a uprostřed relace se povyšují na šifrované spojení, jako SMTP na portu 587 nebo IMAP na 143; ty vyžadují vyjednávání na úrovni protokolu, které kontrola certifikátu neprovádí, takže na ně namiřte přímo port s implicitním TLS.

Ne, a v nejběžnějším nastavení to nestojí ani jeden požadavek navíc. Sledování certifikátu lze zapnout jako součást existujícího monitoru HTTPS místo přidání samostatné kontroly: tento monitor už při každém běhu provádí TLS handshake, takže vydavatel certifikátu, data platnosti i jakýkoli problém s handshake se čtou přímo ze spojení, které stejně navazoval. Zapnutím této volby se jen začne vyhodnocovat a hlásit to, co už tak jako tak probíhalo na drátě. Alternativou – samostatným monitorem pro expiraci certifikátu – je vhodné jít v situaci, kdy koncový bod, který chcete sledovat, není ten, který monitorujete kvůli dostupnosti, například poštovní server, interní API brána nebo alternativní port. Ať tak či onak, sledování certifikátu i domény je součástí standardní sady kontrol a 30denní zkušební verze pokrývá obojí až pro 100 monitorů bez nutnosti platební karty.

Jakmile HostTracker problém odhalí – ať už jde o blížící se datum vypršení, chybu v řetězci certifikátu, nebo doménu blížící se k termínu obnovy – pošle upozornění přes libovolný z 9 nastavených notifikačních kanálů, včetně e-mailu, SMS, hlasového hovoru, webhooků, Slacku a messengerových aplikací jako Telegram, Discord a Viber. Můžete nastavit více kontaktů a kanálů, takže se upozornění dostane jak k osobě odpovědné za správu domén, tak k osobě odpovědné za infrastrukturu, místo aby záviselo na jediné schránce, kterou může někdo přehlédnout. Upozornění obsahuje konkrétní zjištěný problém, takže hned víte, zda jde o vypršující certifikát, chybu konfigurace, nebo propadající se registraci, místo obecné zprávy „problém“. Protože tyto kontroly běží automaticky v intervalu, který si nastavíte, o problému se dozvíte podle harmonogramu HostTracker, a ne až v den, kdy vám zákazník nahlásí rozbitou ikonu zámečku.