SSL-Zertifikatsablauf überwachen

Haupteinstellungen

Zwei Felder stehen über diesem Panel, und das Panel selbst enthält vier weitere:

• Domain / IP - der Host, zu dem über TLS verbunden wird. Geben Sie eine reine Domain oder IP ein; Port 443 wird angenommen, sofern Sie nicht explizit einen hinzufügen, zum Beispiel example.com:8443 für ein Zertifikat, das auf einem nicht standardmäßigen Port ausgeliefert wird.
• Name (optional) - eine kurze Bezeichnung für diesen Monitor in Benachrichtigungen, Berichten und Ihrem Dashboard. Lassen Sie es leer, und HostTracker greift auf die Domain zurück.
• Überwachung aktiviert - pausiert oder setzt die Prüfung fort, ohne sie zu löschen. Schalten Sie sie vor einem geplanten Zertifikatswechsel aus, damit eine kurze Lücke zwischen altem und neuem Zertifikat keinen falschen Alarm auslöst.
• Wie diese Prüfung funktioniert - ein eingeklappter Infohinweis, der die Mechanik erklärt: Die Prüfung verbindet sich über TLS und liest das Ablaufdatum des Zertifikats, nach einem festen Zeitplan von alle 6 Stunden aus HostTrackers eigenem Überwachungsnetzwerk. Für diesen Typ gibt es keinen Intervall-Regler; siehe unten, warum.
• Tags - Freitext-Bezeichnungen zum Filtern und Gruppieren dieses Monitors in Ihrem Dashboard.
• Vollständiges Protokoll - speichert jedes einzelne Prüfergebnis, statt aufeinanderfolgende identische zu gruppieren. Schalten Sie es für eine vollständige Historie statt nur Zustandsänderungen ein.
• Öffentliche Statistik - erzeugt eine öffentliche, teilbare Statistikseite für diesen Monitor. Lassen Sie es für einen internen oder nicht öffentlichen Host ausgeschaltet.

Warum 6 Stunden und kein minutengenaues Intervall: Das Ablaufdatum eines Zertifikats bewegt sich zwischen Prüfungen nicht. Es ändert sich nur, wenn jemand ein neues ausstellt. Alle paar Minuten abzufragen würde ohne Nutzen dieselbe Antwort wiederholen; viermal am Tag zu prüfen ist immer noch schnell genug, um eine misslungene Verlängerung noch am selben Werktag zu erfassen. Sie müssen auch keine Vorlaufzeit konfigurieren, um dem Ablauf vorzugreifen: HostTracker sendet automatisch eine informative Erinnerung 30, 7 und 1 Tag vor dem Ablaufdatum des Zertifikats, an jeden Kontakt, dem Sie unten ein Up-Abonnement gegeben haben (jeder Kanal außer Sprachanrufen, die echten Ausfällen vorbehalten sind). Diese Erinnerungen sind von einem Down-Alarm getrennt. Ein Zertifikat, das noch gültig ist, aber sich dem Ablauf nähert, ist eine Erinnerung, kein Fehlschlag; die Prüfung geht erst auf Down, sobald das Zertifikat tatsächlich abgelaufen ist.

Benachrichtigungsabonnements

Das ist dasselbe Abonnements-Panel, das jeder Prüfungstyp verwendet. Schalten Sie Alle Kontakte für Up/Down-Ereignisse abonnieren, um jeden Kontakt Ihres Kontos auf einmal an beide Ereignisse zu hängen, oder nutzen Sie das Suchfeld und die Schalter Down / Up / Repeat pro Kontakt, um eine gezielte Liste zu bauen:

• Down - wird benachrichtigt, wenn das Zertifikat abgelaufen ist.
• Up - wird benachrichtigt, wenn sich eine Prüfung nach einem Down erholt (ein neues Zertifikat wurde installiert), und ist, speziell für diesen Prüfungstyp, auch der Empfänger der automatischen 30/7/1-Tage-Ablauferinnerungen von oben.
• Repeat - sendet den Down-Alarm weiterhin nach Zeitplan, solange das Zertifikat abgelaufen bleibt, statt einmal zu benachrichtigen und dann still zu bleiben.

Ein abgelaufenes, öffentlich zugängliches Zertifikat ist genau die Art Fehlschlag, die Vertrauen kostet, in dem Moment, in dem der Browser eines Besuchers die Warnseite zeigt, diesen Abschnitt leer zu lassen unterläuft also den Sinn der Prüfung. Sie erfasst den Ablauf und sagt es niemandem.

Berichtsabonnements

Berichte sind periodische Zusammenfassungen statt ereignisgesteuerter Alarme, nützlich, wenn jemand in Ihrem Team eine feste wöchentliche oder monatliche Übersicht zum Zertifikatszustand möchte, statt gepiept zu werden, sobald etwas abläuft. Sie gehen nur an E-Mail-Kontakte. Lassen Sie dies aus, wenn die Benachrichtigungsabonnements oben bereits abdecken, wer Bescheid wissen muss.

Ausgearbeitetes Beispiel

Sie betreiben eine Checkout-Seite unter pay.example.com hinter einem Zertifikat, das automatisch über Let's Encrypt verlängert wird, wurden aber schon einmal von einem Verlängerungsjob überrascht, der scheiterte, ohne jemanden zu informieren. Erstellen Sie einen Certificate-expiration-Monitor für pay.example.com, lassen Sie Überwachung aktiviert eingeschaltet, fügen Sie den Tag payments hinzu, und abonnieren Sie Ihre Bereitschafts-E-Mail- und Slack-Kontakte für Up und Down (Up, damit sie auch die 30/7/1-Tage-Erinnerungen bekommen). Überspringen Sie Vollständiges Protokoll, es sei denn, Sie wollen eine vollständige Prüfung-für-Prüfung-Historie. Für eine Prüfung, die vielleicht zweimal im Jahr den Zustand wechselt, ist die gruppierte Ansicht leichter zu lesen. Sonst gibt es nichts einzurichten: Die Prüfung läuft von jetzt an alle 6 Stunden, und Sie werden dreimal getrennt von einer sich anbahnenden Verlängerung hören, bevor sie zu einem Ausfall wird.

Fehlerbehebung

• Der Monitor zeigt Down, aber die Website lädt im Browser einwandfrei. Browser cachen Zertifikate und tolerieren oft ein Ketten-Problem, das ein frischer TLS-Handshake nicht toleriert. Bestätigen Sie es mit dem kostenlosen SSL-Check-Tool aus einer sauberen Sitzung, oder prüfen Sie, ob sich das Zertifikat auf genau diesem host:port geändert hat.
• Sie haben einen Port hinzugefügt, aber die Prüfung verbindet sich weiterhin auf 443. Der Port muss Teil des Felds Domain / IP selbst sein, geschrieben als host:port. Für diesen Prüfungstyp gibt es kein eigenes Port-Feld.
• Es kam keine Erinnerung 30 oder 7 Tage vorher. Erinnerungen gehen nur an Kontakte mit einem Up-Abonnement auf diesem konkreten Monitor. Prüfen Sie zuerst dieses Kästchen, und bestätigen Sie dann, dass der Kanal des Kontakts kein Sprachanruf ist, der diese Hinweise nie trägt.
• Sie haben das Zertifikat verlängert, sehen aber weiterhin ein veraltetes Ablaufdatum. Die Prüfung läuft nach ihrem eigenen 6-Stunden-Zeitplan und ist nicht an Ihr Deployment gebunden; warten Sie auf den nächsten geplanten Lauf, oder öffnen Sie den Monitor und nutzen Sie dessen Jetzt-prüfen-Aktion, falls Ihr Plan eine enthält.
• Sie wollten eigentlich die Domain-Registrierung überwachen, nicht das Zertifikat. Falscher Prüfungstyp; siehe den nächsten Abschnitt.

Verwandte Themen

• Alle Monitoring-Anleitungen - der zentrale Bereich für jeden HostTracker-Prüfungstyp.
• Wie Sie ein SSL-Zertifikats-Ablaufdatum prüfen - die einmalige Version dieser Prüfung, per Browser und per Kommandozeile.
• Domain- und TLS-Prüfungen - die Produktseite, die sowohl Zertifikats- als auch Domain-Ablauf-Monitoring abdeckt, einschließlich der vollständigen 30/7/1-Tage-Erinnerungsleiter und wie sie sich von einem echten Down-Alarm unterscheidet.
• Kostenloses SSL-Check-Tool - eine einmalige Zertifikatsprüfung ohne benötigtes Konto, nützlich, um zu bestätigen, was ein Monitor meldet.
• Anleitung zum Domain-Ablauf - die Prüfung für eine verfallene Registrierung, ein anderer Fehlschlag mit einem anderen Verantwortlichen.
• Anleitung zur HTTP-Prüfung - Zertifikatsablauf ist auch als angehängte Kachel bei einem Http-, Port- oder API-Monitor verfügbar, mitlaufend mit dieser Prüfung, statt als eigener separater Monitor zu laufen.