Как мониторить истечение SSL-сертификата

Основные настройки

Над этой панелью расположены два поля, а сама панель содержит еще четыре:

• Домен / IP - хост, к которому нужно подключиться по TLS. Введите чистый домен или IP; если порт не указан явно, по умолчанию подразумевается 443, например example.com:8443 для сертификата на нестандартном порту.
• Имя (необязательно) - короткая метка этого монитора в оповещениях, отчетах и на панели управления. Оставьте пустым - и HostTracker будет использовать домен.
• Мониторинг включен - приостанавливает или возобновляет проверку без ее удаления. Отключите его перед плановой заменой сертификата, чтобы короткий разрыв между старым и новым сертификатом не вызвал ложное оповещение.
• Как работает эта проверка - свернутая инфо-заметка с объяснением механики: проверка подключается по TLS и считывает дату истечения сертификата по фиксированному расписанию - каждые 6 часов из собственной сети мониторинга HostTracker. Ползунка интервала у этого типа нет; почему - см. ниже.
• Теги - произвольные текстовые метки для фильтрации и группировки этого монитора на панели управления.
• Полный лог - сохраняет каждый отдельный результат проверки вместо группировки подряд идущих одинаковых. Включите его, чтобы получить полную историю, а не только смены состояния.
• Открытая статистика - создает публичную страницу статистики этого монитора, которой можно поделиться. Оставьте выключенной для внутреннего или непубличного хоста.

Почему 6 часов, а не интервал масштаба минут: дата истечения сертификата не меняется между проверками. Она меняется только тогда, когда кто-то выпускает новый сертификат. Опрос каждые несколько минут повторял бы один и тот же ответ без всякой пользы; проверка четыре раза в день по-прежнему достаточно быстра, чтобы поймать неудачное продление в течение того же рабочего дня. Настраивать заблаговременность самому тоже не нужно: HostTracker автоматически отправляет информационное напоминание за 30, 7 и 1 день до истечения срока сертификата каждому контакту, у которого ниже оформлена подписка на событие Up (по всем каналам, кроме голосовых звонков - они зарезервированы за настоящим простоем). Эти напоминания отделены от оповещения о Down. Сертификат, который еще действителен, но приближается к истечению - это напоминание, а не сбой; проверка переходит в Down только после того, как сертификат действительно истек.

Подписки на оповещения

Это та же панель подписок, что используется для любого типа проверки. Включите Подписать все контакты на события Up/Down, чтобы разом добавить всех контактов вашего аккаунта на оба события, либо воспользуйтесь строкой поиска и переключателями Down / Up / Repeat для каждого контакта, чтобы составить конкретный список:

• Down - оповещение приходит, когда срок сертификата истек.
• Up - оповещение приходит, когда проверка восстанавливается после Down (установлен новый сертификат), и именно для этого типа проверки те же контакты получают автоматические напоминания за 30/7/1 день, описанные выше.
• Repeat - продолжает по расписанию отправлять оповещение Down, пока сертификат остается просроченным, вместо того чтобы оповестить один раз и замолчать.

Просроченный сертификат на публичном ресурсе - это как раз тот сбой, который теряет доверие в тот самый момент, когда браузер посетителя показывает предупреждение, поэтому оставлять этот раздел пустым сводит на нет весь смысл проверки. Она зафиксирует истечение и никому об этом не скажет.

Подписки на отчеты

Отчеты - это периодические сводки, а не оповещения по событию, полезные, если кому-то из команды нужен регулярный еженедельный или ежемесячный дайджест состояния сертификатов, а не вызов по факту истечения. Они уходят только email-контактам. Оставьте этот раздел выключенным, если подписки на оповещения выше уже покрывают тех, кому нужно знать.

Разобранный пример

У вас есть страница оформления заказа на pay.example.com с сертификатом, который автоматически продлевается через Let's Encrypt, но вас уже подводила задача продления, которая упала, никого не предупредив. Создайте монитор истечения сертификата для pay.example.com, оставьте мониторинг включенным, добавьте тег payments и подпишите дежурные email- и Slack-контакты на Up и Down (Up - чтобы они еще получали напоминания за 30/7/1 день). Полный лог можно пропустить, если не нужна полная история по каждой проверке. Для проверки, которая меняет состояние, может быть, дважды в год, сгруппированный вид читать проще. Больше ничего настраивать не нужно: с этого момента проверка выполняется каждые 6 часов, и о срывающемся продлении вы услышите три раза, прежде чем это станет реальным простоем.

Диагностика

• Монитор показывает Down, но в браузере сайт открывается нормально. Браузеры кэшируют сертификаты и часто терпят проблему с цепочкой, которую свежее TLS-рукопожатие не потерпит. Проверьте бесплатным инструментом проверки SSL в чистой сессии, либо посмотрите, не изменился ли сертификат именно на этом хосте и порту.
• Вы указали порт, но проверка все равно подключается на 443. Порт должен быть частью самого поля «Домен / IP», записанным как host:port. Отдельного поля порта у этого типа проверки нет.
• Напоминание за 30 или 7 дней не пришло. Напоминания приходят только контактам с подпиской на Up на этом конкретном мониторе. Сначала проверьте эту галочку, затем убедитесь, что канал контакта - не голосовой звонок: по нему такие уведомления никогда не приходят.
• Вы продлили сертификат, но все еще видите старую дату истечения. Проверка идет по своему собственному расписанию раз в 6 часов и не привязана к вашему деплою; дождитесь следующего запланированного запуска либо откройте монитор и воспользуйтесь его действием "проверить сейчас", если оно доступно на вашем тарифе.
• Вы хотели мониторить регистрацию домена, а не сертификат. Это не тот тип проверки; см. следующий раздел.

Связанные материалы

• Все руководства по мониторингу - раздел обо всех типах проверок HostTracker.
• Как проверить дату истечения SSL-сертификата - разовая версия этой проверки, через браузер и командную строку.
• Проверки домена и TLS - страница продукта, охватывающая мониторинг и сертификата, и домена, включая полную лестницу напоминаний за 30/7/1 день и ее отличие от настоящего оповещения Down.
• Бесплатный инструмент проверки SSL - разовая проверка сертификата без аккаунта, полезная, чтобы свериться с тем, что сообщает монитор.
• Руководство по истечению домена - проверка на случай просроченной регистрации, другой сбой с другим владельцем.
• Руководство по HTTP-проверке - истечение сертификата также доступно как прикрепленная плитка на мониторе Http, Port или API, идущая вместе с этой проверкой, а не отдельным монитором.