Monitorowanie wygasania certyfikatów SSL

Narzędzie do sprawdzania terminu ważności domeny śledzi status rejestracji Twojej domeny i datę jej odnowienia, a następnie wysyła powiadomienie z odpowiednim wyprzedzeniem, byś zdążył odnowić domenę, zanim rejestracja wygaśnie. Ma to znaczenie, ponieważ gdy domena wygaśnie, konsekwencje mogą sięgać od całkowitego zniknięcia strony po udostępnienie domeny do rejestracji przez kogokolwiek innego - w tym okazjonalnych nabywców liczących na odsprzedanie jej z powrotem po zawyżonej cenie. Przeoczone odnowienia zwykle wynikają z prozaicznych powodów - nieaktualnego adresu e-mail do rozliczeń, cichego niepowodzenia płatności przy automatycznym odnowieniu albo po prostu zgubienia terminu - a nie z niedbalstwa. Monitorowanie domen HostTracker bezpośrednio sprawdza status rejestracji i powiadamia Cię przez wybrane kontakty w miarę zbliżania się terminu wygaśnięcia, niezależnie od tego, czy i jakie e-maile przypominające wysyła Twój rejestrator. Ponieważ wygaśnięcie domeny może w jednej chwili zniweczyć lata pracy nad SEO, niezależny nadzór nad datą rejestracji to zabezpieczenie wymagające minimalnego wysiłku.

Tak. Każde uruchomienie wykonuje prawdziwe uzgadnianie TLS, więc poza datą wygaśnięcia weryfikuje również, czy certyfikat prowadzi do zaufanego urzędu root (brakujący certyfikat pośredni to najczęstsza przyczyna sytuacji, w której certyfikat działa w Twojej przeglądarce, ale zawodzi wszędzie indziej), czy nazwa hosta, którą sprawdzasz, jest rzeczywiście objęta alternatywnymi nazwami podmiotu (SAN) certyfikatu, oraz czy certyfikat nie został unieważniony - unieważnienie jest sprawdzane względem usługi OCSP lub CRL urzędu wydającego. Każdy z tych problemów wywołuje to samo ostrzeżenie bezpieczeństwa w przeglądarce co wprost wygasły certyfikat, nawet gdy do daty wygaśnięcia jest jeszcze sporo czasu, więc sprawdzanie wyłącznie terminu ważności pominęłoby realne problemy odczuwalne przez użytkowników. Wynegocjowana wersja protokołu TLS, szyfr, wystawca, numer seryjny oraz pełna lista SAN są zapisywane przy każdym wyniku, a jeśli chcesz, aby słaby protokół lub słaby szyfr faktycznie kończył test niepowodzeniem, a nie tylko był raportowany, służą do tego opcjonalne przełączniki rygoru na monitorze HTTPS. Daje to pełniejszy obraz stanu certyfikatu niż jednorazowy sprawdzacz SSL, ponieważ Twoja konfiguracja może się zmienić, mimo że data wygaśnięcia pozostaje taka sama.

HostTracker wysyła przypomnienia w trzech momentach: 30 dni, 7 dni i 1 dzień przed datą wygaśnięcia - zarówno dla certyfikatów SSL/TLS, jak i rejestracji domen. Ta trzystopniowa drabina jest celowa, a nie jednym ostrzeżeniem - 30 dni to wystarczające wyprzedzenie, by złożyć zamówienie zakupu lub naprawić zepsute zadanie odnawiające, 7 dni to przypomnienie, które wyłapuje zgłoszenie, którym nikt się nie zajął, a 1 dzień to ostatni dzwonek, zanim przeglądarki zaczną pokazywać Twoim odwiedzającym ostrzeżenie bezpieczeństwa. Te przypomnienia są czymś innym niż rzeczywista awaria: jeśli certyfikat jest już nieważny - wygasł, został unieważniony, jest podawany z uszkodzonym łańcuchem albo wystawiony dla innej nazwy hosta - to nie jest przypomnienie, tylko nieudany test, i natychmiast eskaluje przez Twoje standardowe kontakty do alertów o awarii. Takie połączenie oznacza, że dostajesz spokojne ostrzeżenie, gdy nadal masz czas na działanie, i pilny alert tylko wtedy, gdy naprawdę coś jest nie tak w tej chwili.

Stały darmowy plan HostTracker monitoruje dwie strony z kontrolami co 30 minut bez żadnych opłat, a 30-dniowy pełny okres próbny odblokowuje wszystkie rodzaje kontroli, w tym monitorowanie domeny i SSL, na maksymalnie 100 monitorach z kontrolami co minutę i bez podawania karty kredytowej. Oznacza to, że możesz przetestować monitorowanie wygasania certyfikatów i domen na swoich rzeczywistych domenach, zanim zdecydujesz się na płatny plan. Jeśli zdecydujesz się korzystać z usługi długoterminowo, z częstszymi kontrolami lub większą liczbą monitorowanych domen, plany płatne zaczynają się od około $5 miesięcznie. Ponieważ problemy z certyfikatami i domenami zdarzają się rzadko, ale mają duże konsekwencje, nawet rzadsze kontrole w darmowym planie zwykle wystarczają, by wykryć zbliżający się termin wygaśnięcia na długo przed tym, jak stanie się on pilny - to rodzaj monitorowania, który tanio kosztuje, a jego brak kosztuje drogo.

Tak. Cel monitora wygasania certyfikatu jest normalizowany do hosta i portu, a port domyślnie przyjmuje wartość 443 tylko wtedy, gdy go nie podasz - zapisz go jako example.com:8443, a test połączy się właśnie tam. Test otwiera połączenie TCP do tego hosta i portu i od razu wykonuje uzgadnianie TLS, wysyłając nazwę hosta przez SNI, dzięki czemu serwer obsługujący kilka certyfikatów pod jednym adresem zwraca właściwy z nich. Oznacza to, że w ten sposób można obserwować każdą usługę, która mówi TLS bezpośrednio po połączeniu, a nie tylko serwery WWW: alternatywny port HTTPS, bramę API czy usługę pocztową na porcie z niejawnym TLS. Jedyna sytuacja, której to nie obsługuje, to STARTTLS - protokoły, które zaczynają się w postaci czystego tekstu i uaktualniają się w trakcie sesji, takie jak SMTP na porcie 587 czy IMAP na 143, wymagają negocjacji na poziomie protokołu, której test certyfikatu nie wykonuje - w takim przypadku skieruj go zamiast tego na port z niejawnym TLS.

Nie, a w najczęstszej konfiguracji nie kosztuje nawet dodatkowego zapytania. Obserwowanie certyfikatu można włączyć jako część już istniejącego monitora HTTPS, zamiast dodawać je jako osobny test: ten monitor przy każdym uruchomieniu i tak wykonuje uzgadnianie TLS, więc wystawca certyfikatu, daty ważności i ewentualny problem z uzgadnianiem są odczytywane z połączenia, które i tak było nawiązywane. Włączenie tej opcji po prostu zaczyna oceniać i raportować to, co już przechodziło przez łącze. Alternatywa - samodzielny monitor wygasania certyfikatu - jest właściwym wyborem, gdy endpoint, który chcesz obserwować, nie jest tym, który monitorujesz pod kątem dostępności, na przykład serwer pocztowy, wewnętrzna brama API albo alternatywny port. Tak czy inaczej, monitorowanie wygasania certyfikatu i domeny jest częścią standardowego zestawu testów, a 30-dniowy okres próbny obejmuje oba na maksymalnie 100 monitorach, bez karty kredytowej.

Gdy tylko problem zostanie wykryty - czy to zbliżająca się data wygaśnięcia, błąd łańcucha certyfikatu, czy domena zbliżająca się do terminu odnowienia - HostTracker wysyła alert przez dowolny ze skonfigurowanych przez Ciebie 9 kanałów powiadomień, w tym e-mail, SMS, połączenie głosowe, webhooki, Slack oraz komunikatory takie jak Telegram, Discord i Viber. Możesz skonfigurować wiele kontaktów i kanałów, dzięki czemu zarówno osoba odpowiedzialna za zarządzanie domeną, jak i osoba odpowiedzialna za infrastrukturę zostaną powiadomione, zamiast polegać na jednej skrzynce odbiorczej, w której wiadomość może zostać przeoczona. Alerty zawierają konkretny wykryty problem, dzięki czemu od razu wiesz, czy masz do czynienia z wygasającym certyfikatem, błędem konfiguracji, czy wygasającą rejestracją, a nie z ogólnym komunikatem „problem”. Ponieważ te kontrole są uruchamiane automatycznie w ustawionym przez Ciebie interwale, o problemie dowiadujesz się zgodnie z harmonogramem HostTracker, a nie dopiero wtedy, gdy klient zgłosi zepsutą kłódkę.