Surveillance de l’expiration des certificats SSL

Un vérificateur d’expiration de domaine suit le statut d’enregistrement de votre domaine et sa date de renouvellement, puis vous envoie une notification avec suffisamment d’avance pour renouveler avant que l’enregistrement n’expire. C’est important car une fois un domaine expiré, les conséquences peuvent aller de la mise hors ligne totale de votre site à la mise à disposition du domaine pour n’importe qui d’autre, y compris des acheteurs opportunistes espérant vous le revendre avec une marge. Les renouvellements manqués tiennent généralement à des raisons banales - un e-mail de facturation obsolète, un paiement en renouvellement automatique qui a silencieusement échoué, ou simplement une date oubliée - pas de la négligence. La surveillance de domaine de HostTracker vérifie directement le statut d’enregistrement et vous alerte via les contacts de votre choix à l’approche de la date d’expiration, indépendamment des e-mails de rappel que votre bureau d’enregistrement envoie ou non. Puisqu’un domaine expiré peut anéantir des années de valeur SEO en un seul renouvellement manqué, une surveillance indépendante de la date d’enregistrement est une protection à faible effort.

Oui. Chaque exécution effectue une véritable poignée de main TLS, si bien qu’au-delà de la date d’expiration, elle vérifie aussi que le certificat remonte à une racine de confiance (un certificat intermédiaire manquant est la cause la plus fréquente d’un certificat qui fonctionne dans votre navigateur mais échoue partout ailleurs), que le nom d’hôte que vous vérifiez est bien couvert par les noms alternatifs du sujet du certificat, et que le certificat n’a pas été révoqué - la révocation est vérifiée auprès du service OCSP ou CRL de l’autorité émettrice. N’importe lequel de ces problèmes déclenche le même avertissement de sécurité du navigateur qu’un certificat carrément expiré, même si la date d’expiration reste confortablement lointaine - se limiter à la date d’expiration manquerait donc de vrais problèmes visibles par les utilisateurs. La version du protocole TLS négocié, le chiffrement, l’émetteur, le numéro de série et la liste complète des SAN sont également enregistrés à chaque résultat, et si vous voulez qu’un protocole faible ou un chiffrement faible fasse réellement ÉCHOUER la vérification plutôt que d’être simplement signalé, ce sont des options de rigueur facultatives sur un moniteur HTTPS. Cela donne une vision plus complète de l’état de santé du certificat qu’un simple outil de vérification SSL ponctuel, puisque votre configuration peut changer sans que la date d’expiration ne change du tout.

HostTracker envoie des rappels à trois moments précis : 30 jours, 7 jours et 1 jour avant la date d’expiration, aussi bien pour les certificats SSL/TLS que pour les enregistrements de domaine. Cet échelonnement en trois paliers est volontaire plutôt qu’un avertissement unique - 30 jours laissent le temps de lancer un bon de commande ou de réparer une tâche de renouvellement défaillante, 7 jours est le rappel qui rattrape le ticket que personne n’a pris en charge, et 1 jour est le dernier avertissement avant que les navigateurs ne commencent à afficher un avertissement de sécurité à vos visiteurs. Ces rappels sont distincts d’une véritable panne : si le certificat est déjà invalide - expiré, révoqué, servi avec une chaîne rompue, ou délivré pour un autre nom d’hôte - il ne s’agit plus d’un rappel mais d’une vérification en échec, qui alerte immédiatement vos contacts habituels de panne. Cette combinaison signifie que vous recevez un avertissement calme pendant qu’il est encore temps d’agir, et une alerte urgente seulement lorsque quelque chose ne va vraiment pas dans l’instant.

L’offre gratuite permanente de HostTracker surveille deux sites avec des vérifications toutes les 30 minutes sans frais, et un essai complet de 30 jours débloque tous les types de vérification, y compris la surveillance de domaine et SSL, sur jusqu’à 100 moniteurs avec des vérifications toutes les minutes et sans carte bancaire requise. Vous pouvez ainsi évaluer la surveillance d’expiration de certificat et de domaine sur vos vrais domaines avant de décider de passer ou non à une offre payante. Si vous décidez de continuer à long terme avec des vérifications plus fréquentes ou davantage de domaines surveillés, les offres payantes démarrent autour de 5 $ par mois. Comme les problèmes de certificat et de domaine sont rares mais à fort impact lorsqu’ils surviennent, même la fréquence de vérification plus légère de l’offre gratuite suffit souvent à détecter une date d’expiration bien avant qu’elle ne devienne urgente - c’est le type de surveillance peu coûteux à faire tourner et coûteux à négliger.

Oui. La cible d’un moniteur d’expiration de certificat se normalise en un hôte et un port, et le port ne vaut 443 par défaut que si vous n’en précisez pas un autre - écrivez-le sous la forme example.com:8443 et la vérification se connecte à cet endroit à la place. La vérification ouvre une connexion TCP vers cet hôte et ce port et effectue immédiatement une poignée de main TLS, en envoyant le nom d’hôte via SNI afin qu’un serveur hébergeant plusieurs certificats sur une même adresse renvoie le bon. Cela signifie que tout service qui parle TLS directement à la connexion peut être surveillé de cette façon, pas seulement les serveurs web : un port HTTPS alternatif, une passerelle d’API, ou un service de messagerie sur un port TLS implicite. Le seul cas qu’elle ne gère pas est STARTTLS - les protocoles qui démarrent en clair et passent en TLS en cours de session, comme SMTP sur le port 587 ou IMAP sur le 143, nécessitent une négociation au niveau du protocole que la vérification de certificat n’effectue pas ; ciblez plutôt le port TLS implicite.

Non, et dans la configuration la plus courante, cela ne coûte même pas une requête supplémentaire. La surveillance du certificat peut être activée dans le cadre d’un moniteur HTTPS existant plutôt qu’ajoutée comme vérification séparée : ce moniteur effectue déjà une poignée de main TLS à chaque exécution, si bien que l’émetteur du certificat, ses dates de validité et tout problème de poignée de main sont lus directement depuis la connexion qu’il établissait de toute façon. Activer l’option se contente d’évaluer et de signaler ce qui circulait déjà sur le fil. L’alternative - un moniteur d’expiration de certificat autonome - est le bon choix lorsque le point de terminaison que vous voulez surveiller n’est pas celui dont vous surveillez la disponibilité, comme un serveur de messagerie, une passerelle d’API interne ou un port alternatif. Dans les deux cas, la surveillance de l’expiration des certificats et des domaines fait partie de l’ensemble de vérifications standard, et l’essai de 30 jours couvre les deux sur jusqu’à 100 moniteurs, sans carte bancaire.

Une fois un problème détecté - qu’il s’agisse d’une expiration approchante, d’une erreur de chaîne de certificat ou d’un domaine proche de sa date de renouvellement - HostTracker envoie une alerte via l’un des 9 canaux de notification que vous avez configurés, dont l’e-mail, le SMS, l’appel vocal, les webhooks, Slack, et des applications de messagerie comme Telegram, Discord et Viber. Vous pouvez configurer plusieurs contacts et canaux, afin que la personne responsable de la gestion du domaine et celle responsable de l’infrastructure soient toutes deux notifiées, plutôt qu’une seule boîte mail susceptible d’être oubliée. Les alertes indiquent précisément le problème détecté, afin que vous sachiez immédiatement s’il s’agit d’un certificat qui expire, d’un problème de configuration ou d’un enregistrement en cours d’expiration, plutôt qu’un message générique de "problème". Comme ces vérifications s’exécutent automatiquement à l’intervalle que vous avez défini, vous apprenez le problème selon le calendrier de HostTracker, pas le jour où un client signale un cadenas cassé.