Monitoramento de certificado SSL: alertas de expiração para certificados e domínios

Um certificado SSL expirado não é o único prazo que pode tirar um site do ar - o verificador de expiração de domínio da HostTracker acompanha o status do seu registro junto com seus certificados, sem custo adicional.

Um monitor de expiração de certificado SSL costuma ser vendido como um lembrete de calendário, e a expiração é de fato a forma mais comum de um certificado quebrar. Mas não é a única. Cada execução da HostTracker abre uma conexão TLS real e avalia o certificado que o servidor realmente entregou - o que detecta as falhas que chegam sem nenhuma data mudar.

Por baixo dos panos, um monitor de certificado é uma conexão TLS com um host e uma porta. A porta assume o padrão 443, e você pode indicar uma diferente - example.com:8443 - de modo que um gateway de API, uma porta HTTPS alternativa ou um serviço em uma porta TLS implícita seja monitorado exatamente da mesma forma. O hostname é enviado via SNI, para que um servidor que hospeda vários certificados em um único endereço IP retorne o correto.

Quando um servidor cai, um visitante vê um erro do navegador e geralmente tenta de novo mais tarde. Quando um certificado expira, o servidor continua perfeitamente saudável - ele responde a todas as requisições - e o navegador se recusa a mostrar o que foi enviado. Essa diferença importa de quatro formas fáceis de subestimar até acontecer.

• O aviso foi projetado para ser assustador. Uma interstitial em tela cheia sobre uma conexão insegura é a mesma tela que um navegador mostra para um ataque de interceptação. Os visitantes não leem isso como "o certificado deles venceu"; eles leem como "este site não é seguro".
• Em um site com HSTS ativado, não há como contornar. Se você já enviou um cabeçalho Strict-Transport-Security - e deveria ter enviado - os navegadores removem completamente a opção "prosseguir mesmo assim". Todo visitante fica totalmente bloqueado até que o certificado seja substituído.
• As máquinas falham de forma mais dura do que as pessoas. Seu aplicativo móvel, seus webhooks de pagamento, as integrações dos seus parceiros e todo cliente de API também validam o certificado, e nenhum deles tem um botão para ignorar o aviso. Uma expiração é uma interrupção completa de integração, não apenas do site.
• Seu próprio monitoramento pode parecer "verde". Uma verificação configurada para ignorar problemas de certificado ainda relata HTTP 200 de um servidor cujo certificado expirou uma hora atrás. A aplicação nunca percebeu. É exatamente essa lacuna que um monitor de certificado existe para fechar.

A mesma assimetria se aplica a um domínio vencido, só que de forma mais lenta e menos reversível: um certificado pode ser reemitido em minutos, enquanto um domínio que sai do período de resgate pode ser registrado por qualquer pessoa.

O acompanhamento de certificado vem em duas formas, e a maioria das contas quer a primeira.

Um certificado não muda de um minuto para o outro, então nenhuma das duas formas verifica com mais frequência do que é útil. Seis horas significa que o pior caso entre um certificado quebrar e a HostTracker perceber é de algumas horas, em algo que normalmente lhe dá 30 dias de aviso.

A HostTracker envia avisos de lembrete 30 dias, 7 dias e 1 dia antes de uma data de expiração - tanto para certificados SSL/TLS quanto para registros de domínio. Três degraus em vez de um só, porque cada um pega um tipo diferente de falha: 30 dias é tempo suficiente para abrir uma ordem de compra ou consertar uma tarefa de renovação quebrada, 7 dias pega o chamado que ninguém assumiu, e 1 dia é o último aviso antes que os navegadores comecem a alertar seus visitantes.

Um lembrete não é um alerta de queda, e a HostTracker mantém os dois separados. Se o certificado estiver realmente inválido agora - expirado, revogado, ligado a uma raiz não confiável, ou emitido para um hostname diferente - isso é uma verificação com falha, e ela escala pelos seus contatos normais de alerta de queda, no atraso que cada um deles escolheu: imediatamente, ou após 3, 5, 15, 30 ou 60 minutos, ou 3, 6, 12 ou 24 horas.

Os alertas são enviados pelos nove canais que a HostTracker oferece - e-mail, SMS, chamada de voz, webhook, Slack, notificação push e os aplicativos de mensagens Telegram, Discord e Viber. As renovações de certificado e as renovações de domínio geralmente pertencem a pessoas diferentes, então coloque ambas na lista de contatos: o lembrete que chega apenas na caixa de entrada de quem configurou o monitor é o lembrete que passa despercebido.

A escada acima é exatamente o que é, na prática, um rastreador de expiração de certificados SSL. A cada seis horas o HostTracker relê o certificado que o seu servidor realmente entregou e recalcula os dias restantes; três desses números têm um aviso preso a eles.

Os três degraus são fixos em 30, 7 e 1 dia, e a mesma escada cobre registros de domínio além dos certificados. Um aviso é informativo e sozinho nunca marca o monitor como fora do ar; um certificado de fato inválido - vencido, revogado, emitido para outro nome de host ou encadeado a uma raiz não confiável - é uma verificação com falha e escalona como qualquer outra indisponibilidade.

Ainda sem monitoramento? A verificação SSL instantânea gratuita lê o mesmo certificado e informa a mesma data de expiração, emissor, cadeia e versão de TLS negociada - uma vez, agora, sem conta. O rastreador de expiração é essa mesma verificação em um ciclo de seis horas, com os três avisos presos a ela.

O monitor de certificado acima responde "este certificado é válido". Um conjunto separado de opções em um monitor de disponibilidade HTTPS responde a uma pergunta mais difícil - "esta conexão está de acordo com nosso padrão" - e cada uma é opcional, porque ativar todas elas para todo cliente reprovaria muitos sites que estão funcionando exatamente como seus donos pretendem.

• Exigir uma cadeia de certificado válida. Desativada por padrão, para que um certificado autoassinado em um host interno não reprove sua verificação de uptime. Ative-a para qualquer coisa pública.
• Exigir um protocolo TLS forte. Reprova a verificação quando o servidor negocia qualquer coisa abaixo de TLS 1.2 - a opção útil depois de um projeto de reforço de segurança, para que uma configuração revertida não reintroduza silenciosamente um protocolo obsoleto.
• Bloquear cifras fracas. Reprova a verificação quando a cifra negociada é mais fraca que 128 bits.
• Verificar revogação de certificado. Adiciona uma consulta OCSP/CRL à própria verificação de disponibilidade.

Um monitor de expiração de certificado independente já aplica validação de cadeia e verificação de revogação por conta própria, sem nenhuma dessas opções - elas existem para que sua verificação de uptime possa ser tão rigorosa quanto sua postura de segurança exige, independentemente do que o monitor de certificado relata.

A renovação automática deveria ter acabado com os incidentes de expiração, e em grande parte acabou. O que ela mudou foi a forma dos que restaram: em vez de uma pessoa esquecer uma data, um pedaço de automação para de funcionar e ninguém percebe, porque uma automação funcionando é silenciosa e uma automação quebrada é silenciosa exatamente da mesma forma. A vida útil dos certificados continua encolhendo em todo o setor - as autoridades gratuitas mais usadas emitem certificados de 90 dias, e a vida útil máxima aceita pelos navegadores está sendo reduzida em etapas - o que significa que a renovação agora acontece muitas vezes por ano, e qualquer uma dessas renovações pode ser a que falha.

As falhas que vemos relatadas se parecem com isto:

• A tarefa cron de renovação morreu meses atrás. O último certificado que ela renovou era válido por 90 dias, então a falha só ficou visível no dia 91.
• A renovação deu certo, mas nada foi recarregado. O novo certificado fica parado no disco enquanto o servidor web, o balanceador de carga ou o container continuam servindo o antigo da memória. Todo log de renovação diz sucesso.
• Um nó entre vários ficou de fora. Atrás de um balanceador de carga, a maioria das requisições recebe o certificado novo e uma fração recebe o expirado - por isso um erro de certificado intermitente, do tipo "funciona para mim", quase sempre é um problema de consistência na frota.
• A borda está bem, a origem não. Sua CDN apresenta seu próprio certificado válido enquanto o da origem expirou por baixo dela. Tudo que fala diretamente com a origem quebra.
• O método de validação parou de funcionar. Um registro DNS foi "arrumado", um caminho /.well-known/ passou a redirecionar, uma regra de firewall mudou - e a renovação que dependia disso parou de passar silenciosamente.
• O certificado curinga não cobria o novo subdomínio. Um certificado curinga cobre um nível, então um host adicionado sob um rótulo mais profundo não é coberto por ele de forma alguma.

Cada uma dessas falhas é invisível de dentro do seu próprio pipeline de implantação e óbvia de fora, o que é todo o argumento para um observador externo. Um monitor que se conecta da mesma forma que o navegador de um estranho vê o certificado que você está realmente servindo - não o que sua automação acredita ter instalado.

O lado de domínio consulta o registro, não o servidor. A HostTracker consulta o domínio via RDAP - o sucessor moderno e estruturado do WHOIS - resolvendo qual registro responde pelo seu TLD a partir do próprio diretório publicado pela IANA, e recorre a uma consulta WHOIS clássica na porta 43 para TLDs que ainda não publicam um serviço RDAP. A consulta é executada em uma cadência fixa de seis horas, e a verificação relata:

• a data de expiração que o registro mantém - a autoritativa, não a do seu sistema de cobrança;
• os códigos de status do registro sobre o domínio, quando o RDAP os fornece - incluindo se há um bloqueio de transferência ativo;
• um aviso separado de "data de expiração alterada" sempre que a data do registro difere da verificação anterior - é assim que você confirma que uma renovação realmente foi aplicada, e como descobre uma que você não autorizou.

Esse último é, discretamente, o sinal mais útil da página. Uma renovação que você pagou, mas que nunca chegou ao registro, parece idêntica a um domínio saudável até o momento em que o lembrete de 30 dias dispara. Observar a própria data mudar transforma a renovação de algo que você espera que tenha acontecido em algo que você pode ver.

Quer o registro completo do registro - registrador, servidores de nomes, data de criação - agora mesmo, em vez de como um monitor? Execute a consulta gratuita de WHOIS e expiração de domínio; sem necessidade de login. O monitor recorrente relata menos informações de propósito, porque expiração e status são o que muda.

1. Consulte o domínio primeiro com a verificação instantânea gratuita para saber quais são as datas de expiração de hoje antes de automatizar qualquer coisa.
2. Se você já monitora o uptime do site, abra esse monitor e ative o acompanhamento de certificado e o acompanhamento de expiração de domínio. Nenhum monitor novo, nenhuma requisição extra.
3. Para tudo que você não monitora para uptime - um host de e-mail, um gateway interno, uma porta alternativa - adicione um monitor independente de Expiração de certificado e informe host:porta. A porta 443 é assumida quando você a omite.
4. Adicione um monitor de Expiração de domínio para cada domínio registrável que você possui, incluindo os registros defensivos e os domínios de redirecionamento. São exatamente esses os que vencem, porque ninguém fica de olho em um domínio que não tem site nenhum.
5. Coloque mais de uma pessoa na lista de contatos. Certificados e domínios geralmente pertencem a equipes diferentes, e o lembrete que só chega até a pessoa que configurou o monitor é o que fica sem ser lido quando ela muda de emprego.
6. Anote a escada de lembretes - 30, 7 e 1 dia - e garanta que seu processo de renovação caiba dentro de 30 dias. Se uma ordem de compra leva seis semanas, a escada não é a sua restrição; o processo é.

Ferramentas gratuitas de verificação SSL - incluindo a própria da HostTracker - são genuinamente úteis e respondem a uma pergunta diferente. Um verificador informa o estado de um certificado no momento em que você perguntou. O monitoramento informa quando esse estado muda enquanto você não está olhando, que é o único momento em que isso importa.

Os certificados ficam ao lado de outras coisas em um domínio que podem dar errado sem que ninguém toque no seu servidor. Uma vez que o lado da expiração está sendo observado, os próximos dois mais comuns são sinalizações de malware e phishing e listagens em blacklists DNS - ambas falhas silenciosas de reputação que deixam o site no ar e o tráfego embora.

• Sem STARTTLS. A verificação se conecta e inicia o handshake TLS imediatamente, então funciona em qualquer porta que fale TLS diretamente. Protocolos que começam em texto simples e fazem upgrade no meio da sessão - SMTP na 587, IMAP na 143, FTP com TLS explícito - precisam de uma negociação que a verificação não realiza. Aponte-a para a porta TLS implícita em vez disso.
• Os dias de lembrete são fixos em 30, 7 e 1. Atualmente eles não são uma configuração por monitor.
• Um respondente de revogação inacessível é relatado, não reprovado. Isso é proposital - uma indisponibilidade do OCSP de uma autoridade certificadora não é uma indisponibilidade do seu site - mas isso significa que a cobertura de revogação depende de um terceiro estar no ar.
• Os logs de Certificate Transparency não são monitorados. A HostTracker informa sobre o certificado que está sendo servido; ela não observa logs públicos de CT em busca de certificados emitidos para o seu domínio por outra pessoa.
• Certificados de cliente não são exercitados. A verificação valida o certificado que o servidor apresenta, não um handshake TLS mútuo.
• A cobertura de domínio segue os registros. O RDAP é usado onde o TLD o publica, e o WHOIS clássico onde não publica; um pequeno número de TLDs obscuros não publica bem nenhum dos dois, e a verificação relata uma falha de consulta em vez de fingir saber uma data.