Мониторинг SSL-сертификатов: оповещения об истечении сертификатов и доменов

Истёкший SSL-сертификат - не единственный срок, который может вывести сайт офлайн: доменный чекер HostTracker отслеживает статус регистрации домена наравне с вашими сертификатами, без дополнительной платы.

Монитор истечения SSL-сертификата часто преподносят просто как календарное напоминание, и истечение срока - это действительно самая частая причина сбоя сертификатов. Но не единственная. Каждый запуск HostTracker открывает настоящее TLS-соединение и оценивает сертификат, который сервер реально отдал - это позволяет выявлять сбои, которые возникают без изменения каких-либо дат вообще.

Под капотом монитор сертификата - это TLS-соединение с хостом и портом. Порт по умолчанию - 443, и вы можете указать другой - example.com:8443 - так что API-шлюз, альтернативный HTTPS-порт или сервис на порту с неявным TLS отслеживаются точно так же. Имя хоста передаётся через SNI, поэтому сервер, обслуживающий несколько сертификатов на одном IP-адресе, вернёт нужный.

Когда сервер падает, посетитель видит ошибку браузера и обычно пробует зайти позже. Когда истекает сертификат, сервер по-прежнему абсолютно здоров - он отвечает на каждый запрос, - но браузер отказывается показать то, что он отправил. Это различие важно по четырём причинам, которые легко недооценить, пока это не случится.

• Предупреждение сделано пугающим намеренно. Полноэкранная заглушка о небезопасном соединении - тот же экран, что браузер показывает при атаке перехвата. Посетители не читают это как «сертификат истёк»; они читают это как «этот сайт небезопасен».
• На сайте с включённым HSTS обойти это невозможно. Если вы хоть раз отправляли заголовок Strict-Transport-Security - а вы должны были, - браузеры полностью убирают опцию «всё равно продолжить». Каждый посетитель жёстко блокируется, пока сертификат не заменят.
• Машины подводят строже, чем люди. Ваше мобильное приложение, вебхуки платежей, интеграции партнёров и любой API-клиент тоже проверяют сертификат, и ни у одного из них нет кнопки, чтобы обойти это. Истечение срока - это сбой всей интеграции, а не только сайта.
• Ваш собственный мониторинг может выглядеть зелёным. Проверка, настроенная игнорировать проблемы с сертификатом, по-прежнему сообщает HTTP 200 от сервера, чей сертификат истёк час назад. Приложение этого попросту не заметило. Именно этот пробел и призван закрыть монитор сертификатов.

Та же асимметрия применима и к просроченному домену, только медленнее и менее обратимо: сертификат можно перевыпустить за минуты, тогда как домен, покинувший период выкупа, может зарегистрировать кто угодно.

Слежение за сертификатом бывает в двух формах, и большинству аккаунтов подходит первая.

Сертификат не меняется от одной минуты к другой, поэтому ни одна из форм не проверяет чаще, чем это реально полезно. Шесть часов означают, что худший случай между поломкой сертификата и её обнаружением HostTracker - это несколько часов на фоне того, что обычно даёт вам 30 дней предупреждения.

HostTracker присылает напоминания за 30 дней, 7 дней и 1 день до даты истечения - как для SSL/TLS-сертификатов, так и для регистрации доменов. Три ступени, а не одна, потому что каждая ловит свой тип упущения: 30 дней - этого достаточно, чтобы оформить закупку или починить сломанную задачу автопродления, 7 дней ловит тикет, который никто не взял в работу, а 1 день - последний шанс до того, как браузеры начнут предупреждать ваших посетителей.

Напоминание - это не оповещение о сбое, и HostTracker держит их отдельно. Если сертификат уже действительно недействителен прямо сейчас - истёк, отозван, привязан к недоверенному корневому центру или выпущен для другого имени хоста, - это провалившаяся проверка, и она эскалируется через ваши обычные контакты для оповещений о сбоях с задержкой, которую выбрал каждый из них: немедленно, либо через 3, 5, 15, 30 или 60 минут, либо через 3, 6, 12 или 24 часа.

Оповещения отправляются по девяти каналам, которые поддерживает HostTracker - email, SMS, голосовой звонок, webhook, Slack, веб-push и мессенджеры Telegram, Discord и Viber. Продление сертификатов и продление доменов обычно закреплены за разными людьми, поэтому добавьте обоих в список контактов: напоминание, которое доходит только до почтового ящика того, кто настраивал монитор, - это то напоминание, которое пропустят.

Лестница выше — это и есть отслеживание срока действия SSL-сертификата на практике. Каждые шесть часов HostTracker заново читает сертификат, который ваш сервер действительно отдал, и пересчитывает оставшиеся дни; к трём из этих чисел привязано напоминание.

Три ступени зафиксированы на 30, 7 и 1 дне, и та же лестница работает для регистраций доменов, а не только для сертификатов. Напоминание информационное и само по себе никогда не переводит монитор в недоступное состояние; сертификат, который действительно недействителен — истёк, отозван, выписан на другое имя хоста или привязан к недоверенному корню, — это проваленная проверка, и она эскалируется как любой другой сбой.

Ещё не настроили мониторинг? Бесплатная мгновенная проверка SSL читает тот же сертификат и сообщает ту же дату истечения, издателя, цепочку и согласованную версию TLS — один раз, прямо сейчас, без аккаунта. Отслеживание срока — это та же проверка в шестичасовом цикле, с привязанными к ней тремя напоминаниями.

Монитор сертификата выше отвечает на вопрос «действителен ли этот сертификат». Отдельный набор переключателей на мониторе доступности HTTPS отвечает на более сложный вопрос - «соответствует ли это соединение нашему стандарту» - и каждый из них включается опционально, потому что включение всех сразу для каждого клиента провалило бы множество сайтов, которые работают именно так, как задумали их владельцы.

• Требовать действительную цепочку сертификатов. Выключено по умолчанию, чтобы самоподписанный сертификат на внутреннем хосте не проваливал проверку доступности. Включите этот параметр для всего публичного.
• Требовать надёжный протокол TLS. Проваливает проверку, если сервер согласовывает что-либо ниже TLS 1.2 - полезный переключатель после проекта по укреплению безопасности, чтобы откат конфигурации не мог незаметно вернуть устаревший протокол.
• Блокировать слабые шифры. Проваливает проверку, если согласованный шифр слабее 128 бит.
• Проверять отзыв сертификата. Добавляет к проверке доступности запрос OCSP/CRL.

Отдельный монитор истечения сертификата уже сам по себе применяет проверку цепочки и отзыва, без каких-либо из этих переключателей - они существуют для того, чтобы вашу проверку доступности можно было сделать настолько строгой, насколько того требует ваша политика безопасности, независимо от того, что показывает монитор сертификата.

Автоматическое продление должно было положить конец инцидентам с истечением сроков, и по большей части так и произошло. Оно изменило форму оставшихся инцидентов: вместо того чтобы человек забыл дату, ломается часть автоматизации, и никто этого не замечает, потому что работающая автоматизация молчит, а сломанная автоматизация молчит точно так же. Срок действия сертификатов в отрасли продолжает сокращаться - широко используемые бесплатные удостоверяющие центры выпускают сертификаты на 90 дней, а максимальный срок, который принимают браузеры, поэтапно снижается - а значит, продление теперь происходит много раз в год, и любое из этих продлений может оказаться тем самым, которое сломается.

Вот как выглядят сбои, о которых нам сообщают:

• Cron-задача продления умерла много месяцев назад. Последний сертификат, который она продлила, был действителен 90 дней, поэтому сбой стал заметен только на 91-й день.
• Продление прошло успешно, но ничего не перезагрузилось. Новый сертификат лежит на диске, пока веб-сервер, балансировщик нагрузки или контейнер продолжают отдавать старый из памяти. Каждая запись в логе продления говорит об успехе.
• Один узел из нескольких оказался пропущен. За балансировщиком нагрузки большинство запросов получают новый сертификат, а часть - истёкший, из-за чего периодическая ошибка сертификата «у меня всё работает» почти всегда оказывается проблемой рассогласованности парка серверов.
• На границе всё в порядке, а на источнике - нет. Ваш CDN предъявляет собственный действительный сертификат, пока сертификат на источнике под ним истёк. Всё, что обращается к источнику напрямую, ломается.
• Метод валидации перестал работать. DNS-запись «прибрали», путь /.well-known/ начал редиректить, изменилось правило файрвола - и продление, зависящее от этого, незаметно перестало проходить.
• Wildcard-сертификат не покрыл новый субдомен. Wildcard-сертификат покрывает один уровень, поэтому хост, добавленный на более глубоком уровне, им вообще не покрывается.

Каждая из этих проблем невидима изнутри вашего собственного пайплайна развёртывания и очевидна снаружи, и именно в этом весь смысл внешнего наблюдателя. Монитор, который подключается так же, как это делает браузер незнакомца, видит сертификат, который вы реально отдаёте, - а не тот, который, по мнению вашей автоматизации, установлен.

Доменная часть обращается к реестру, а не к серверу. HostTracker ищет домен через RDAP - современного, структурированного преемника WHOIS, - определяя, какой реестр отвечает за ваш TLD, по собственному опубликованному справочнику IANA, и переходит на классический WHOIS-запрос на порту 43 для тех TLD, которые ещё не публикуют сервис RDAP. Проверка выполняется с фиксированной периодичностью в шесть часов и сообщает:

• дату истечения, которую хранит реестр, - авторитетную, а не ту, что указана в вашей биллинговой системе;
• коды статуса реестра для домена, там, где их предоставляет RDAP, - включая наличие блокировки передачи;
• отдельное уведомление «дата истечения изменилась» каждый раз, когда дата у реестра отличается от предыдущей проверки - именно так вы подтверждаете, что продление действительно прошло, и узнаёте о том, которое вы не санкционировали.

Последний пункт незаметно оказывается самым полезным сигналом на странице. Продление, за которое вы заплатили, но которое так и не дошло до реестра, выглядит точно так же, как здоровый домен, вплоть до момента срабатывания напоминания за 30 дней. Наблюдение за изменением самой даты превращает продление из того, на что вы надеетесь, в то, что вы можете увидеть.

Нужна полная запись реестра - регистратор, серверы имён, дата создания - прямо сейчас, а не в виде монитора? Запустите бесплатный WHOIS и проверку истечения домена; вход не требуется. Регулярный монитор намеренно сообщает меньше, потому что меняются именно срок истечения и статус.

1. Сначала проверьте домен с помощью бесплатной мгновенной проверки, чтобы узнать сегодняшние даты истечения, прежде чем что-либо автоматизировать.
2. Если вы уже мониторите доступность сайта, откройте этот монитор и включите слежение за сертификатом и за истечением домена. Никакого нового монитора, никакого лишнего запроса.
3. Для всего, что вы не мониторите на доступность - почтовый хост, внутренний шлюз, альтернативный порт, - добавьте отдельный монитор Истечение сертификата и укажите host:port. Порт 443 подразумевается, если вы его не указали.
4. Добавьте монитор Истечение домена для каждого регистрируемого домена, которым вы владеете, включая защитные регистрации и домены-редиректы. Именно они чаще всего истекают, потому что за доменом без сайта на нём никто не следит.
5. Добавьте в список контактов больше одного человека. Сертификатами и доменами обычно занимаются разные команды, и напоминание, которое доходит только до того, кто настроил монитор, останется непрочитанным, когда этот человек сменит работу.
6. Обратите внимание на лестницу напоминаний - 30, 7 и 1 день - и убедитесь, что ваш процесс продления укладывается в 30 дней. Если оформление закупки занимает шесть недель, ограничением является не лестница, а сам процесс.

Бесплатные инструменты проверки SSL - включая собственный чекер HostTracker - по-настоящему полезны и отвечают на другой вопрос. Чекер сообщает состояние сертификата в момент, когда вы спросили. Мониторинг сообщает, когда это состояние меняется, пока вы не смотрите, - а это единственный момент, когда это действительно важно.

Сертификаты стоят в одном ряду с другими вещами в жизни домена, которые могут пойти не так без того, чтобы кто-то трогал ваш сервер. Как только сторона истечения под наблюдением, следующими обычно идут пометки о вредоносном ПО и фишинге и попадание в DNS-чёрные списки - оба этих сбоя тихо портят репутацию, оставляя сайт работающим, а трафик - ушедшим.

• Нет STARTTLS. Проверка подключается и сразу начинает TLS-рукопожатие, поэтому она работает на любом порту, который использует TLS напрямую. Протоколы, которые начинают работу в открытом виде и переключаются на шифрование в середине сессии, - SMTP на 587, IMAP на 143, явный TLS для FTP - требуют согласования, которое проверка не выполняет. Указывайте вместо этого порт с неявным TLS.
• Дни напоминаний зафиксированы на 30, 7 и 1. На данный момент это не настройка на уровне отдельного монитора.
• Недоступный сервис отзыва сообщается, а не проваливает проверку. Это сделано намеренно - сбой OCSP на стороне удостоверяющего центра не является сбоем вашего сайта, - но это означает, что покрытие отзыва зависит от доступности третьей стороны.
• Журналы Certificate Transparency не отслеживаются. HostTracker сообщает о сертификате, который реально отдаётся; он не следит за публичными журналами CT на предмет сертификатов, выпущенных для вашего домена кем-то другим.
• Клиентские сертификаты не задействуются. Проверка валидирует сертификат, который предъявляет сервер, а не выполняет взаимное TLS-рукопожатие (mutual TLS).
• Покрытие доменов зависит от реестров. RDAP используется там, где TLD его публикует, и классический WHOIS - там, где нет; небольшое число малоизвестных TLD не публикуют толком ни то, ни другое, и в этом случае проверка сообщает о сбое поиска, а не выдумывает дату.