Мониторинг истечения SSL-сертификата

Проверка срока действия домена отслеживает статус регистрации и дату продления вашего домена и заранее присылает уведомление - с запасом времени, достаточным для продления до окончания регистрации. Это важно, потому что после истечения домена последствия могут быть разными: от полной недоступности сайта до того, что домен станет доступен для регистрации кем угодно, включая покупателей, рассчитывающих перепродать его вам же по завышенной цене. Пропущенные продления обычно случаются по банальным причинам - устаревший email для оплаты, незаметно не прошедший платёж автопродления или просто забытая дата - а не из-за небрежности. Мониторинг доменов HostTracker напрямую проверяет статус регистрации и оповещает вас через выбранные контакты по мере приближения даты истечения - независимо от того, присылает ли напоминания ваш регистратор. Поскольку один пропущенный домен может свести на нет годы SEO-работы, независимый контроль за датой регистрации - это простая, но надёжная страховка.

Да. При каждом запуске выполняется настоящее TLS-рукопожатие, поэтому помимо даты истечения проверяется ещё и то, что сертификат ведёт цепочку доверия к доверенному корневому центру (отсутствующий промежуточный сертификат - самая частая причина сертификата, который работает в вашем браузере, но не работает везде), что имя хоста, которое вы проверяете, действительно покрывается альтернативными именами субъекта сертификата (SAN), и что сертификат не был отозван - отзыв проверяется через сервис OCSP или CRL удостоверяющего центра. Любая из этих проблем вызывает то же предупреждение браузера о безопасности, что и явно просроченный сертификат, даже если до истечения срока ещё далеко, поэтому проверка одной лишь даты истечения упускает реальные проблемы, с которыми сталкиваются пользователи. С каждым результатом также фиксируются согласованная версия протокола TLS, шифр, издатель, серийный номер и полный список SAN, а если вы хотите, чтобы слабый протокол или слабый шифр действительно приводили к сбою проверки, а не просто отражались в отчёте, для этого на HTTPS-мониторе есть отдельные опциональные переключатели строгости. Это даёт более полную картину состояния сертификата, чем разовый SSL-чекер, ведь конфигурация может измениться, а дата истечения при этом останется прежней.

HostTracker присылает напоминания в три момента: за 30 дней, за 7 дней и за 1 день до даты истечения - как для SSL/TLS-сертификатов, так и для регистрации доменов. Такая трёхступенчатая лестница выбрана намеренно, а не одно единственное предупреждение: 30 дней - это достаточно времени, чтобы оформить закупку или починить сломанную задачу автопродления, 7 дней - это напоминание, которое ловит тикет, который никто не взял в работу, а 1 день - последний шанс до того, как браузеры начнут показывать вашим посетителям предупреждение о безопасности. Эти напоминания отделены от настоящего сбоя: если сертификат уже недействителен прямо сейчас - истёк, отозван, отдаётся с неполной цепочкой или выпущен для другого имени хоста, - это не напоминание, а провалившаяся проверка, и она немедленно эскалируется через ваши обычные контакты для оповещений о сбоях. Такое сочетание означает, что вы получаете спокойное предупреждение, пока ещё есть время на действия, и срочное оповещение только тогда, когда что-то действительно не так прямо сейчас.

Бессрочный бесплатный тариф HostTracker бесплатно отслеживает два сайта с проверками каждые 30 минут, а 30-дневный полнофункциональный пробный период открывает все типы проверок, включая мониторинг домена и SSL, для до 100 объектов мониторинга с проверками раз в минуту - без привязки банковской карты. Это значит, что вы можете оценить мониторинг истечения сертификата и домена на реальных доменах, прежде чем решать, переходить ли на платный тариф. Если вы решите пользоваться сервисом дальше с более частыми проверками или большим числом отслеживаемых доменов, платные тарифы начинаются примерно от 5 долларов в месяц. Проблемы с сертификатами и доменами случаются редко, но обходятся дорого, поэтому даже менее частых проверок бесплатного тарифа обычно достаточно, чтобы заметить приближающееся истечение задолго до того, как это станет критичным - это тот вид мониторинга, который дёшево вести и дорого пропустить.

Да. Цель монитора истечения сертификата приводится к виду «хост и порт», и порт по умолчанию принимает значение 443 только тогда, когда вы его не указали - напишите его как example.com:8443, и проверка подключится именно туда. Проверка открывает TCP-соединение с этим хостом и портом и сразу выполняет TLS-рукопожатие, отправляя имя хоста через SNI, чтобы сервер, обслуживающий несколько сертификатов на одном адресе, вернул нужный. Это значит, что таким способом можно отслеживать любой сервис, который использует TLS напрямую при подключении, а не только веб-серверы: альтернативный HTTPS-порт, API-шлюз или почтовый сервис на порту с неявным TLS. Единственное, что эта проверка не умеет, - это STARTTLS: протоколы, которые начинают работу в открытом виде и переключаются на шифрование в середине сессии, например SMTP на порту 587 или IMAP на порту 143, требуют согласования на уровне протокола, которое проверка сертификата не выполняет, поэтому для них нужно указывать порт с неявным TLS.

Нет, а в самом распространённом случае он вообще не добавляет ни одного лишнего запроса. Слежение за сертификатом можно включить как часть уже существующего HTTPS-монитора, а не добавлять как отдельную проверку: этот монитор и так выполняет TLS-рукопожатие при каждом запуске, поэтому издатель сертификата, сроки действия и любая проблема рукопожатия считываются из уже выполняемого соединения. Включение опции просто начинает оценивать и сообщать о том, что и так уже присутствовало в трафике. Альтернатива - отдельный монитор истечения сертификата - правильный выбор, когда конечная точка, за которой вы хотите следить, не та, за доступностью которой вы уже следите, например почтовый сервер, внутренний API-шлюз или альтернативный порт. В любом случае мониторинг сертификата и домена входит в стандартный набор проверок, и 30-дневный пробный период покрывает оба варианта на до 100 мониторах без привязки банковской карты.

Как только проблема обнаружена - будь то приближающаяся дата истечения, ошибка цепочки сертификата или домен, которому скоро нужно продление, - HostTracker отправляет уведомление по любому из 9 настроенных вами каналов оповещения, включая email, SMS, голосовой звонок, webhook, Slack и мессенджеры вроде Telegram, Discord и Viber. Вы можете настроить несколько контактов и каналов, чтобы уведомление получал и человек, отвечающий за управление доменами, и человек, отвечающий за инфраструктуру, а не только один почтовый ящик, в который могут не заглянуть вовремя. Уведомления содержат конкретную обнаруженную проблему, поэтому вы сразу понимаете, идёт ли речь об истекающем сертификате, ошибке конфигурации или просроченной регистрации, а не получаете общее сообщение о «проблеме». Поскольку эти проверки выполняются автоматически с заданным вами интервалом, вы узнаёте о проблеме по расписанию HostTracker, а не в день, когда клиент сообщает о сломанном значке замка в браузере.