Истек домен или SSL-сертификат? Как понять разницу
Истечение домена кладет все целиком, включая почту, потому что перестает отвечать сам DNS; истечение сертификата оставляет сайт прекрасно доступным, но ставит предупреждение на весь экран между каждым посетителем и вашим контентом. Зарегистрированный домен и действующий TLS-сертификат - две отдельные вещи с двумя отдельными расписаниями, но снаружи они могут выглядеть одинаковой проблемой: сайт, который раньше работал, перестал работать. В поддержку приходят тикеты "сайт не работает" в обоих случаях, а решение одной проблемы никак не помогает второй. Разные сбои, разные ответственные, разные решения.
Что происходит, когда истекает регистрация домена
Доменное имя - это аренда, а не покупка. Оно регистрируется у регистратора на фиксированный срок, и если никто не продлит его до истечения этого срока, домен перестает быть вашим в самом буквальном, техническом смысле: DNS-записи, указывающие с вашего домена на ваш веб-сервер, почтовый сервер, все на свете, перестают разрешаться. Посетители не видят страницу ошибки от вашего собственного сайта, потому что маршрута к вашему сайту больше вообще не существует - их браузер получает сбой DNS еще до того, как доходит до вашего сервера. Почта ломается так же, поскольку доставка писем зависит от тех же DNS-записей (MX-запросов), что и доставка веб-контента. Если домен "истек", а почта на него все еще приходит, значит либо он еще не истек, либо вы смотрите не на тот домен.
Регистраторы не удаляют истекший домен в тот же миг, как истек срок. Есть окно восстановления, обычно устроенное по этапам: сначала льготный период, когда можно продлить по обычной цене, затем более долгий период выкупа, когда реестр удерживает имя за собой, но берет гораздо более высокую плату за восстановление, а затем финальное окно ожидания удаления, прежде чем имя вернется в публичный доступ, и тогда его сможет зарегистрировать кто угодно, включая инвестора в домены, специально следящего именно за такими случаями. Точное число дней на каждом этапе и размер платы за выкуп зависят от реестра и от регистратора, поэтому любую конкретную цифру, прочитанную где-то еще, стоит воспринимать как ориентир для того конкретного случая, а не как универсальную константу. Универсальна сама форма: чем дольше вы ждете, тем дороже вернуть имя обратно, а после определенной точки оно просто пропадает. Восстановление просроченного домена - это действие на стороне регистратора: вы, либо тот, кто управляет аккаунтом регистратора, должен войти и продлить или восстановить его. Никакая настройка сервера или DNS с вашей стороны это не исправит.
Что происходит, когда истекает TLS-сертификат
TLS (SSL) сертификат - куда меньшее и куда более краткосрочное обязательство: подписанное заявление, действительное ограниченный период, о том, что конкретный публичный ключ принадлежит вашему домену. DNS до него нет дела, хостингу до него нет дела, а ваш веб-сервер продолжает отдавать страницы точно так же, как и раньше. Меняется то, что браузер посетителя делает с этими страницами. В момент, когда проходит дата истечения сертификата, каждый браузер, который его проверяет, а проверяют все, отказывается завершать защищенное соединение и показывает вместо вашего контента предупреждение на весь экран: "Ваше подключение не защищено", замок с треугольником-предупреждением или похожую формулировку в зависимости от браузера. Сайт по-прежнему на месте, сервер по-прежнему работает, но почти никто не станет проходить через это предупреждение, чтобы его увидеть.
Решение здесь уже, чем восстановление домена: перевыпустить или продлить сертификат и установить новый. Для сертификата, выпущенного через автоматизированный процесс, что поддерживает большинство современного хостинга и многие удостоверяющие центры, продление может происходить без вмешательства человека, по расписанию, пока автоматизация продолжает работать. На практике риск с сертификатами не в том, что продлить их сложно. Он в том, что автоматизация остановилась (cron-задача перестала срабатывать, хук продления начал отказывать), и никто этого не заметил, пока не заметил посетитель.
Как понять, с чем вы столкнулись
| Симптом | Истек домен | Истек сертификат |
|---|---|---|
| Загружается ли сайт вообще | Нет. Браузер не может разрешить адрес еще до того, как достигнет вашего сервера | Сервер отвечает, но браузер блокирует страницу за предупреждением |
| Что показывает браузер | Ошибку "не удается получить доступ к сайту" / ошибку DNS | Предупреждение о сертификате или "подключение не защищено" |
| Почта на этот домен | Тоже ломается | Не затронута |
| Кто может это исправить | Тот, кто управляет аккаунтом регистратора | Тот, кто управляет сертификатом или хостингом |
Если вы не уверены, с чем именно имеете дело, проверьте каждую версию отдельно. Проверка whois напрямую покажет статус регистрации домена. Проверка SSL-сертификата напрямую покажет действительность сертификата и дату истечения. Быстрый DNS-запрос подтвердит, разрешается ли домен вообще, что само по себе уже разделяет эти два случая: если он разрешается, с доменом все в порядке, и любая проблема - дальше по цепочке. С этими тремя проверками вы будете знать, с каким именно сбоем столкнулись, прежде чем что-либо трогать.
Как мониторить и то, и другое, чтобы ничего не заставало врасплох
Единственное настоящее решение любой из этих проблем - узнать о ней раньше, чем это сделает рассерженный посетитель. HostTracker выполняет мониторинг домена и мониторинг сертификата как две отдельные проверки домена и TLS, каждая из которых следит именно за своим истечением, так что вам не нужно полагаться на собственную память о дате продления.
Обе проверки работают в одном ритме, примерно каждые 6 часов, поскольку статус регистрации или сертификата не меняется от минуты к минуте. Помимо любых подписок на оповещения, которые вы настроите для самой проверки, обе проверки несут еще и автоматическую лестницу напоминаний: уведомление отправляется за 30 дней, за 7 дней и за 1 день до фактической даты истечения. Эту лестницу не нужно настраивать. Она работает сама по себе и уходит только через текстовые каналы, никогда не голосовым звонком. Эти заблаговременные напоминания едут на подписке Up для проверки, так что контакту нужна подписка именно на события Up, а не только Down, чтобы их получать. Оповещение Down, то самое, что срабатывает из-за истечения домена или сертификата, отделено от лестницы напоминаний и срабатывает только при настоящем истечении, никогда в один из дней напоминаний. Если после этого статус остается Down, Repeat продолжает уведомлять подписанные контакты, пока не произойдет восстановление, и тогда снова сработает Up.
Настройте каждую проверку так же, как любой другой монитор HostTracker: укажите домен или сертификат, за которым нужно следить, добавьте контакты, которые должны об этом узнать, и убедитесь, что хотя бы один из них подписан на Up, чтобы лестница напоминаний до кого-то доходила. Полные пошаговые инструкции - в руководстве по истечению домена и руководстве по истечению сертификата.
Связанное чтение
- Все руководства по мониторингу - раздел обо всех типах проверок HostTracker.
- Как проверить дату истечения SSL-сертификата - разовая проверка сертификата через браузер и командную строку.
- Как выполнить whois-запрос - чтение записи регистрации, несущей дату истечения домена.
- Настройка проверки истечения домена
- Настройка проверки истечения сертификата