Wygasła domena czy wygasł certyfikat SSL? Jak rozpoznać
Wygasła domena wyłącza wszystko, łącznie z pocztą, bo sam DNS przestaje odpowiadać; wygasły certyfikat zostawia stronę w pełni osiągalną, ale wstawia ostrzeżenie na całą stronę między każdego odwiedzającego a Twoją treść. Zarejestrowana domena i ważny certyfikat TLS to dwie osobne rzeczy na dwóch osobnych harmonogramach, ale z zewnątrz mogą wyglądać jak ten sam problem: strona, która działała, przestaje działać. Skrzynki wsparcia dostają zgłoszenia "strona nie działa" w obu przypadkach, a naprawa jednego niczego nie zmienia w drugim. Inna awaria, inny właściciel, inna naprawa.
Co się dzieje, gdy wygasa rejestracja domeny
Nazwa domeny to dzierżawa, nie zakup. Jest zarejestrowana u rejestratora na ustalony okres, a jeśli nikt jej nie odnowi przed jego upływem, domena przestaje być Twoja w bardzo dosłownym, technicznym sensie: rekordy DNS, które wskazują Twoją domenę na serwer WWW, serwer poczty, wszystko, przestają się rozwiązywać. Odwiedzający nie widzą strony błędu z Twojej witryny, bo nie ma już żadnej trasy do niej w ogóle - ich przeglądarka dostaje błąd DNS, zanim w ogóle dotrze do Twojego serwera. Poczta psuje się tak samo, bo dostarczanie maili zależy od tych samych rekordów DNS (zapytań MX) co dostarczanie stron. Jeśli domena "wygasła", a wciąż możesz na niej odbierać pocztę, to albo jeszcze nie wygasła, albo patrzysz na niewłaściwą domenę.
Rejestratorzy nie usuwają wygasłej domeny w chwili, gdy termin upływa. Istnieje okno odzyskania, zwykle podzielone na etapy: najpierw okres karencji, w którym można odnowić po normalnej cenie, potem dłuższy okres odkupu, w którym rejestr wciąż trzyma nazwę, ale nalicza znacznie wyższą opłatę przywrócenia, a na końcu ostatnie okno oczekiwania na usunięcie, zanim nazwa zostanie zwrócona do puli publicznej, w którym to momencie każdy, w tym inwestor domenowy czekający dokładnie na taką okazję, może ją zarejestrować. Dokładna liczba dni na każdym etapie i wysokość opłaty odkupu różnią się w zależności od rejestru i rejestratora, więc traktuj każdą konkretną liczbę, którą przeczytasz gdzie indziej, jako orientacyjną dla tego konkretnego przypadku, a nie uniwersalną stałą. Uniwersalny jest sam kształt tego procesu: im dłużej czekasz, tym drożej kosztuje odzyskanie nazwy, a po pewnym punkcie po prostu przepada. Odzyskanie przeterminowanej domeny to działanie po stronie rejestratora: Ty, albo ktokolwiek kontroluje konto u rejestratora, musi się zalogować i ją odnowić albo przywrócić. Żadna konfiguracja serwera czy DNS tego nie naprawi po Twojej stronie.
Co się dzieje, gdy wygasa certyfikat TLS
Certyfikat TLS (SSL) to znacznie mniejsze i znacznie krócej trwające zobowiązanie: podpisane oświadczenie, ważne przez ograniczony czas, że konkretny klucz publiczny należy do Twojej domeny. DNS się tym nie przejmuje, Twój hosting się tym nie przejmuje, a Twój serwer WWW nadal serwuje strony dokładnie tak jak wcześniej. Zmienia się to, co przeglądarka odwiedzającego robi z tymi stronami. W chwili, gdy mija data wygaśnięcia certyfikatu, każda przeglądarka, która to sprawdza, czyli wszystkie, odmawia dokończenia bezpiecznego połączenia i zamiast Twojej treści pokazuje pełnoekranowy komunikat: "Twoje połączenie nie jest prywatne", kłódkę z trójkątem ostrzegawczym albo podobny tekst, zależnie od przeglądarki. Strona wciąż tam jest, serwer wciąż działa, ale prawie nikt nie przejdzie przez to ostrzeżenie, żeby ją zobaczyć.
Naprawa jest węższa niż odzyskanie domeny: wystaw ponownie albo odnów certyfikat i zainstaluj nowy. Dla certyfikatu wystawianego przez zautomatyzowany proces, co wspiera większość nowoczesnego hostingu i wielu urzędów certyfikacji, odnowienie może odbywać się bez nadzoru, według harmonogramu, bez żadnej akcji człowieka, dopóki automatyzacja działa. Praktyczne ryzyko związane z certyfikatami nie polega na tym, że odnowienie jest trudne. Polega na tym, że automatyzacja przestała działać (zadanie cron, które już się nie uruchamia, hook odnowienia, który zaczął zawodzić), a nikt tego nie zauważył, dopóki nie zauważył tego odwiedzający.
Jak rozpoznać, z którym przypadkiem masz do czynienia
| Objaw | Domena wygasła | Certyfikat wygasł |
|---|---|---|
| Czy strona w ogóle się ładuje | Nie. Przeglądarka nie potrafi rozwiązać adresu, zanim dotrze do Twojego serwera | Serwer odpowiada, ale przeglądarka blokuje stronę za ostrzeżeniem |
| Co pokazuje przeglądarka | Błąd "nie można dotrzeć do tej strony" / błąd DNS | Ostrzeżenie o certyfikacie albo "połączenie nie jest prywatne" |
| Poczta na tę domenę | Też przestaje działać | Bez zmian |
| Kto może to naprawić | Ten, kto kontroluje konto u rejestratora | Ten, kto zarządza certyfikatem albo hostingiem |
Jeśli nie masz pewności, z którym przypadkiem masz do czynienia, sprawdź każdy niezależnie. Kontrola whois bezpośrednio pokazuje status rejestracji domeny. Kontrola certyfikatu SSL bezpośrednio pokazuje ważność certyfikatu i datę wygaśnięcia. Szybkie zapytanie DNS potwierdza, czy domena w ogóle się rozwiązuje, co samo w sobie już rozdziela te dwa przypadki: jeśli się rozwiązuje, domena jest w porządku, a problem leży gdzieś dalej. Między tymi trzema sprawdzeniami dowiesz się, z jaką awarią masz do czynienia, zanim czegokolwiek dotkniesz.
Jak monitorować oba, żeby żaden Cię nie zaskoczył
Jedyną prawdziwą naprawą obu problemów jest dowiedzieć się o nich, zanim zrobi to zły odwiedzający. HostTracker prowadzi monitoring domeny i monitoring certyfikatu jako dwie osobne kontrole domeny i TLS, każda dedykowana obserwacji jednego konkretnego wygaśnięcia, więc nie musisz polegać na własnej pamięci o dacie odnowienia.
Obie kontrole działają w tym samym rytmie, mniej więcej co 6 godzin, ponieważ status rejestracji czy certyfikatu nie zmienia się z minuty na minutę. Oprócz subskrypcji alertów, które sam ustawisz dla kontroli, obie kontrole niosą też automatycznie działającą drabinę przypomnień: uprzedzenie wysyłane 30 dni, 7 dni i 1 dzień przed faktyczną datą wygaśnięcia. Ta drabina nie jest czymś, co konfigurujesz. Działa sama i wychodzi wyłącznie kanałami wiadomości, nigdy jako połączenie głosowe. Te wcześniejsze przypomnienia jadą na subskrypcji Up danej kontroli, więc kontakt musi być zapisany na zdarzenia Up, nie tylko Down, żeby je otrzymać. Alert Down, ten, który uruchamia się, bo domena albo certyfikat faktycznie wygasły, jest oddzielny od drabiny przypomnień i uruchamia się tylko przy prawdziwym wygaśnięciu, nigdy w jednym z dni przypomnienia. Jeśli po tym wciąż jest w stanie awarii, Repeat dalej powiadamia zapisane kontakty aż do powrotu do działania, kiedy to znów uruchamia się Up.
Skonfiguruj każdą kontrolę tak samo, jak każdy inny monitor HostTracker: wskaż domenę albo certyfikat, na którym Ci zależy, dodaj kontakty, które mają się o tym dowiadywać, i upewnij się, że przynajmniej jeden z nich jest na subskrypcji Up, żeby drabina przypomnień do kogoś dotarła. Pełne przewodniki krok po kroku znajdują się w przewodniku po wygaśnięciu domeny i przewodniku po wygaśnięciu certyfikatu.
Powiązane materiały
- Wszystkie przewodniki po monitoringu - centrum dla każdego typu kontroli HostTracker.
- Jak sprawdzić datę wygaśnięcia certyfikatu SSL - jednorazowe sprawdzenie certyfikatu, przez przeglądarkę i z linii poleceń.
- Jak wykonać zapytanie whois - odczytywanie rekordu rejestracji, w którym zapisana jest data wygaśnięcia domeny.
- Konfiguracja kontroli wygaśnięcia domeny
- Konfiguracja kontroli wygaśnięcia certyfikatu