Domein of SSL-certificaat verlopen? Zo weet u het
Een verlopen domein legt alles plat, inclusief e-mail, omdat DNS zelf stopt met antwoorden; een verlopen certificaat laat de site perfect bereikbaar maar plaatst een paginavullende waarschuwing tussen elke bezoeker en uw content. Een geregistreerd domein en een geldig TLS-certificaat zijn twee aparte dingen met twee aparte schema's, maar van buitenaf kunnen ze op hetzelfde probleem lijken: een website die vroeger werkte, werkt niet meer. Supportinboxen krijgen "de site is down"-tickets voor allebei, en de oplossing voor het ene doet niets voor het andere. Andere storing, andere eigenaar, andere oplossing.
Wat er gebeurt wanneer een domeinregistratie verloopt
Een domeinnaam is een lease, geen koop. Ze is voor een vaste termijn geregistreerd bij een registrar, en verlengt niemand haar voordat die termijn afloopt, dan stopt het domein in zeer letterlijke, technische zin van u te zijn: de DNS-records die uw domein naar uw webserver, uw mailserver, alles wijzen, stoppen met resolven. Bezoekers zien geen foutpagina van uw eigen site, want er is helemaal geen route meer naar uw site; hun browser krijgt een DNS-fout voordat hij uw server bereikt. E-mail breekt op dezelfde manier, aangezien mailbezorging afhangt van dezelfde DNS-records (MX-opzoekingen) als webbezorging. Is een domein "verlopen" en kunt u er nog steeds e-mail op ontvangen, dan is het ofwel nog niet verlopen, ofwel kijkt u naar het verkeerde domein.
Registrars verwijderen een verlopen domein niet op het moment dat het afloopt. Er is een herstelvenster, doorgaans in fasen opgebouwd: eerst een respijtperiode waarin u tegen de normale prijs kunt verlengen, dan een langere verlossingsperiode waarin het register de naam vasthoudt maar een veel hogere herstelvergoeding vraagt, dan een laatste wachtend-op-verwijdering-venster voordat de naam weer aan het publiek wordt vrijgegeven, waarna iedereen, inclusief een domeininvesteerder die precies hierop wacht, hem kan registreren. Het exacte aantal dagen per fase, en de grootte van de verlossingskosten, verschilt per register en per registrar, dus behandel elk specifiek cijfer dat u elders leest als een vuistregel voor dat specifieke geval, geen universele constante. Wat wel universeel is, is de vorm ervan: hoe langer u wacht, hoe meer het kost om de naam terug te krijgen, en voorbij een bepaald punt is ze gewoon weg. Een verlopen domein herstellen is een registraractie: u, of wie de registrar-account beheert, moet inloggen en het verlengen of herstellen. Geen hoeveelheid server- of DNS-configuratie lost het op vanaf uw kant.
Wat er gebeurt wanneer een TLS-certificaat verloopt
Een TLS-certificaat (SSL) is een veel kleinere, veel kortstondigere verbintenis: een ondertekende verklaring, geldig voor een beperkte periode, dat een bepaalde publieke sleutel bij uw domein hoort. DNS trekt zich er niets van aan, uw hosting trekt zich er niets van aan, en uw webserver blijft pagina's precies zoals voorheen bedienen. Wat verandert, is wat de browser van de bezoeker met die pagina's doet. Zodra de vervaldatum van een certificaat is gepasseerd, weigert elke browser die het controleert, en dat zijn ze allemaal, de beveiligde verbinding te voltooien en toont in plaats van uw content een paginavullende tussenpagina: "Uw verbinding is niet privé", een slotje met een waarschuwingsdriehoek, of soortgelijke bewoording afhankelijk van de browser. De site is er nog, de server draait nog, maar bijna niemand klikt door die waarschuwing heen om hem te zien.
De oplossing is beperkter dan een domeinherstel: geef het certificaat opnieuw uit of verleng het en installeer het nieuwe. Voor een certificaat uitgegeven via een geautomatiseerd proces, wat de meeste moderne hosting en veel certificaatautoriteiten ondersteunen, kan verlenging onbewaakt gebeuren, volgens een schema, zonder dat er menselijk handelen nodig is zolang de automatisering blijft draaien. Het risico met certificaten in de praktijk is niet dat verlenging moeilijk is. Het is dat de automatisering stopte (een cronjob die niet meer afgaat, een verlengingshook die begon te falen) en niemand het merkte totdat een bezoeker het deed.
Hoe u ziet met welke van de twee u te maken heeft
| Symptoom | Domein is verlopen | Certificaat is verlopen |
|---|---|---|
| Laadt de site überhaupt | Nee. De browser kan het adres niet herleiden voordat hij uw server bereikt | De server antwoordt, maar de browser blokkeert de pagina achter een waarschuwing |
| Wat de browser toont | Een "kan deze site niet bereiken"/DNS-fout | Een certificaat- of "verbinding is niet privé"-waarschuwing |
| E-mail naar dat domein | Breekt ook | Niet getroffen |
| Wie het kan oplossen | Wie de registrar-account beheert | Wie het certificaat of de hosting beheert |
Weet u niet zeker waarmee u te maken heeft, controleer dan elk apart. Een whois-check vertelt u rechtstreeks de registratiestatus van het domein. Een SSL-certificaatcheck vertelt u rechtstreeks de geldigheid en vervaldatum van het certificaat. Een snelle DNS-opzoeking bevestigt of het domein überhaupt herleidt, wat op zich al de twee gevallen scheidt: herleidt het, dan is het domein in orde en ligt elk probleem stroomafwaarts ervan. Tussen deze drie weet u met welke storing u te maken heeft voordat u iets aanraakt.
Hoe u beide monitort zodat geen van beide u verrast
De enige echte oplossing voor beide problemen is ervan horen voordat een boze bezoeker dat doet. HostTracker draait domeinmonitoring en certificaatmonitoring als twee aparte domein- en TLS-checks, elk gewijd aan het bewaken van één specifiek verval, zodat u er niet op hoeft te vertrouwen dat u zelf een verlengingsdatum onthoudt.
Beide checks draaien op hetzelfde ritme, ruwweg elke 6 uur, aangezien een registratie of een certificaat niet minuut voor minuut van status verandert. Bovenop welke waarschuwingsabonnementen u zelf voor de check instelt, dragen beide checks ook een automatisch draaiende herinneringsladder: een heads-up gestuurd 30 dagen, 7 dagen, en 1 dag voor de daadwerkelijke vervaldatum. Deze ladder is niets wat u configureert. Hij draait op zichzelf, en gaat alleen via berichtenkanalen, nooit een spraakoproep. Die vooraankondigingen rijden mee op het Up-abonnement voor de check, dus een contact moet geabonneerd zijn op Up-gebeurtenissen, niet alleen Down, om ze te ontvangen. De Down-waarschuwing, degene die afgaat omdat het domein of certificaat is verlopen, staat los van de herinneringsladder en gaat alleen af bij het werkelijke verval, nooit op een van de herinneringsdagen zelf. Is het daarna nog steeds down, dan blijft Repeat geabonneerde contacten waarschuwen tot het herstelt, waarna Up weer afgaat.
Zet elke check op zoals u elke andere HostTracker-monitor zou opzetten: richt hem op het domein of certificaat waar het u om gaat, voeg de contacten toe die ervan moeten horen, en zorg dat minstens een van hen op het Up-abonnement staat zodat de herinneringsladder iemand bereikt. Volledige stap-voor-stap-doorloop staat in de handleiding domeinverval en de handleiding certificaatverval.
Gerelateerde leesstof
- Alle monitoringhandleidingen - de hub voor elk HostTracker-checktype.
- Hoe u de vervaldatum van een SSL-certificaat controleert - de eenmalige certificaatopzoeking, per browser en per commandoregel.
- Hoe u een whois-opzoeking uitvoert - het registratierecord lezen dat de vervaldatum van het domein draagt.
- Een domeinvervalcheck opzetten
- Een certificaatvervalcheck opzetten