Hoe u SSL-certificaatverloop bewaakt

2026-09-05 Bijgewerkt: 2026-09-14

Een Certificate expiration-monitor maakt op een vast schema verbinding met een TLS-eindpunt en leest de vervaldatum van het servercertificaat uit, zodat u het weken voor een verloop weet, in plaats van op het moment dat een browser bezoekers een waarschuwingspagina begint te tonen. Het is één van de "instellen en vergeten"-controletypen van HostTracker: geen requestbody, geen responsregel, geen locatiekiezer. Voer een host in en u bent klaar. Kies dit type wanneer wat u beheert het certificaat is, zoals een vernieuwingsjob van Let's Encrypt of een gekocht certificaat van een CA, in plaats van de domeinregistratie zelf. De vergelijking met domeinverloopmonitoring staat verderop, want dit zijn de twee controletypen die lezers het vaakst door elkaar halen.

Instellingen

Twee velden staan boven dit paneel, en het paneel zelf bevat er nog vier:

Domein / IP - de host waarmee via TLS verbinding wordt gemaakt. Voer een kaal domein of IP-adres in; poort 443 wordt aangenomen tenzij u er expliciet één toevoegt, bijvoorbeeld example.com:8443 voor een certificaat op een niet-standaardpoort.
Naam (optioneel) - een korte naam voor deze monitor in waarschuwingen, rapporten en uw dashboard. Laat leeg en HostTracker valt terug op het domein.
Bewaking ingeschakeld - pauzeert of hervat de controle zonder deze te verwijderen. Zet dit uit voorafgaand aan een geplande certificaatwissel, zodat een kort gat tussen het oude en nieuwe certificaat geen valse waarschuwing afvuurt.
Hoe deze controle werkt - een ingeklapte infonotitie die de werking uitlegt: de controle maakt verbinding via TLS en leest de vervaldatum van het certificaat, volgens een vast schema van elke 6 uur vanuit het eigen monitoringnetwerk van HostTracker. Er is geen intervalschuif voor dit type; zie hieronder waarom.
Tags - vrije labels om deze monitor op uw dashboard te filteren en te groeperen.
Volledig logboek - slaat elk individueel controleresultaat op in plaats van opeenvolgende identieke resultaten te groeperen. Zet dit aan voor een volledige geschiedenis in plaats van alleen statuswijzigingen.
Statistieken openen - genereert een openbare, deelbare statistiekenpagina voor deze monitor. Laat dit uit voor een interne of niet-openbare host.

Waarom 6 uur en geen interval op minutenschaal: de vervaldatum van een certificaat verandert niet tussen controles. Ze verandert alleen wanneer iemand een nieuw certificaat uitgeeft. Elke paar minuten pollen zou zonder enig voordeel steeds hetzelfde antwoord herhalen; vier keer per dag controleren is nog steeds snel genoeg om een mislukte vernieuwing binnen dezelfde werkdag te betrappen. U hoeft ook geen voorlooptijd in te stellen om vóór een verloop te blijven: HostTracker stuurt automatisch een informatieve herinnering op 30, 7 en 1 dag voor de vervaldatum van het certificaat, naar elk contact waaraan u hieronder een Up-abonnement heeft gegeven (elk kanaal behalve spraakoproepen, die gereserveerd zijn voor echte downtime). Die herinneringen staan los van een Down-waarschuwing. Een certificaat dat nog geldig is maar de vervaldatum nadert, is een herinnering, geen storing; de controle gaat pas naar Down zodra het certificaat werkelijk is verlopen.

Waarschuwingsabonnementen

Dit is hetzelfde abonnementenpaneel dat elk controletype gebruikt. Zet Alle contacten inschrijven voor Up/Down-gebeurtenissen aan om elk contact op uw account in één keer op beide gebeurtenissen te zetten, of gebruik het zoekveld en de schakelaars Down / Up / Repeat per contact om een specifieke lijst samen te stellen:

Down - krijgt bericht wanneer het certificaat is verlopen.
Up - krijgt bericht wanneer een controle herstelt na een Down (er is een nieuw certificaat geïnstalleerd), en is voor dit controletype specifiek ook degene die de automatische verloopherinneringen op 30/7/1 dag hierboven ontvangt.
Repeat - blijft de Down-waarschuwing volgens een schema versturen zolang het certificaat verlopen blijft, in plaats van één keer te waarschuwen en dan te zwijgen.

Een verlopen publiek certificaat is het soort storing dat vertrouwen kost op het moment dat de browser van een bezoeker de waarschuwingspagina toont, dus dit onderdeel leeg laten ondermijnt het hele doel van de controle. Ze registreert het verloop dan wel, maar vertelt het aan niemand.

Rapportabonnementen

Rapporten zijn periodieke samenvattingen in plaats van gebeurtenisgestuurde waarschuwingen, nuttig als iemand in uw team een vaste wekelijkse of maandelijkse samenvatting van de certificaatgezondheid wil in plaats van gepiept te worden zodra iets verloopt. Ze gaan alleen naar e-mailcontacten. Laat dit uit als de Waarschuwingsabonnementen hierboven al dekken wie het moet weten.

Uitgewerkt voorbeeld

U draait een afrekenpagina op pay.example.com achter een certificaat dat automatisch vernieuwt via Let's Encrypt, maar u bent al eens gebrand door een vernieuwingsjob die faalde zonder het iemand te vertellen. Maak een Certificate expiration-monitor aan voor pay.example.com, laat Bewaking ingeschakeld aan staan, voeg de tag payments toe, en schrijf uw wachtdienst-e-mail en Slack-contacten in op Up en Down (Up zodat zij ook de herinneringen op 30/7/1 dag krijgen). Sla Volledig logboek over tenzij u een volledige geschiedenis per controle wilt. Voor een controle die misschien twee keer per jaar van status verandert, is de gegroepeerde weergave gemakkelijker te lezen. Verder hoeft u niets in te stellen: de controle draait vanaf nu elke 6 uur, en u hoort drie keer apart over een tragere vernieuwing voordat het een storing wordt.

Problemen oplossen

De monitor toont Down, maar de site laadt prima in een browser. Browsers cachen certificaten en tolereren vaak een probleem met de keten dat een verse TLS-handshake niet zal tolereren. Bevestig het met de gratis SSL-controletool vanuit een schone sessie, of controleer of het certificaat op precies die host:poort is veranderd.
U heeft een poort toegevoegd, maar de controle verbindt nog steeds op 443. De poort moet deel uitmaken van het veld Domein / IP zelf, geschreven als host:poort. Er is geen apart poortveld voor dit controletype.
Er kwam geen herinnering op 30 of 7 dagen van tevoren. Herinneringen gaan alleen naar contacten met een Up-abonnement op deze specifieke monitor. Controleer eerst dat vakje, en bevestig dan dat het kanaal van het contact geen spraakoproep is, want die draagt deze meldingen nooit.
U heeft het certificaat vernieuwd maar ziet nog steeds een verouderde vervaldatum. De controle draait volgens zijn eigen schema van 6 uur en is niet gekoppeld aan uw deployment; wacht op de volgende geplande run, of open de monitor en gebruik de check-now-actie als uw abonnement die bevat.
U bedoelde de domeinregistratie te bewaken, niet het certificaat. Verkeerd controletype; zie het volgende onderdeel.

Gerelateerd

Alle monitoringhandleidingen - de hub voor elk controletype van HostTracker.
Hoe u een SSL-certificaat-vervaldatum controleert - de eenmalige versie van deze controle, via browser en via commandoregel.
Domein- en TLS-controles - de productpagina die zowel certificaat- als domeinverloopmonitoring behandelt, inclusief de volledige herinneringsladder op 30/7/1 dag en hoe die verschilt van een echte Down-waarschuwing.
Gratis SSL-controletool - een eenmalige certificaatcontrole zonder account, handig om te bevestigen wat een monitor rapporteert.
Handleiding domeinverloop - de controle voor een verlopen registratie, een andere storing met een andere eigenaar.
Handleiding HTTP-controle - certificaatverloop is ook beschikbaar als aangehechte tegel op een Http-, Port- of API-monitor, meeliftend op die controle in plaats van als eigen aparte monitor te draaien.