SSL sertifika izleme: sertifikalar ve alan adları için süre sonu uyarıları

Süresi dolmuş bir SSL sertifikası, bir siteyi çevrimdışı bırakabilecek tek son tarih değildir - HostTracker'ın alan adı süre sonu denetleyicisi, sertifikalarınızla birlikte kayıt durumunuzu da ek ücret olmadan izler.

Bir SSL sertifikası süre sonu monitörü genellikle bir takvim hatırlatıcısı olarak sunulur ve süre dolumu, sertifikaların bozulmasının gerçekten en yaygın yoludur. Ama tek yol değildir. Her HostTracker çalıştırması gerçek bir TLS bağlantısı açar ve sunucunun gerçekten sunduğu sertifikayı değerlendirir - bu da hiçbir tarih değişmeden ortaya çıkan arızaları yakalar.

Perde arkasında bir sertifika monitörü, bir ana bilgisayara ve bir porta yapılan bir TLS bağlantısıdır. Port varsayılan olarak 443'tür ve farklı bir tane belirtebilirsiniz - example.com:8443 - böylece bir API ağ geçidi, alternatif bir HTTPS portu veya örtük-TLS portundaki bir hizmet tam olarak aynı şekilde izlenir. Ana bilgisayar adı SNI üzerinden gönderilir; böylece tek bir IP adresinde birden fazla sertifika barındıran bir sunucu doğru olanı döndürür.

Bir sunucu çöktüğünde, bir ziyaretçi bir tarayıcı hatası görür ve genellikle daha sonra tekrar dener. Bir sertifikanın süresi dolduğunda ise sunucu hâlâ tamamen sağlıklıdır - her isteği yanıtlar - ve tarayıcı gönderdiğini göstermeyi reddeder. Bu fark, gerçekleşene kadar hafife alınması kolay dört şekilde önemlidir.

• Uyarı korkutucu olacak şekilde tasarlanmıştır. Güvenli olmayan bir bağlantı hakkındaki tam sayfa bir ara sayfa, bir tarayıcının bir müdahale saldırısı için gösterdiğiyle aynı ekrandır. Ziyaretçiler bunu "sertifikalarının süresi doldu" olarak değil, "bu site güvenli değil" olarak okur.
• HSTS etkin bir sitede geçecek bir yol yoktur. Bir Strict-Transport-Security başlığı gönderdiyseniz - ki göndermiş olmalısınız - tarayıcılar "yine de devam et" seçeneğini tamamen kaldırır. Sertifika değiştirilene kadar her ziyaretçi kesin olarak engellenir.
• Makineler insanlardan daha sert başarısız olur. Mobil uygulamanız, ödeme webhook'larınız, ortaklarınızın entegrasyonları ve her API istemcisi de sertifikayı doğrular ve hiçbirinde tıklayıp geçebileceğiniz bir buton yoktur. Bir süre dolumu, yalnızca bir web sitesi kesintisi değil, tam bir entegrasyon kesintisidir.
• Kendi izlemeniz yeşil görünebilir. Sertifika sorunlarını görmezden gelecek şekilde yapılandırılmış bir kontrol, bir saat önce sertifikasının süresi dolmuş bir sunucudan hâlâ HTTP 200 bildirir. Uygulama hiçbir şey fark etmemiştir. Bir sertifika monitörünün varlık nedeni tam olarak bu boşluğu kapatmaktır.

Aynı asimetri, süresi dolmuş bir alan adı için de geçerlidir; yalnızca daha yavaş ve daha az geri döndürülebilirdir: bir sertifika dakikalar içinde yeniden düzenlenebilirken, kurtarma süresini aşan bir alan adı herkes tarafından kaydedilebilir.

Sertifika izleme iki biçimde gelir ve çoğu hesap birincisini ister.

Bir sertifika bir dakikadan diğerine değişmez; bu yüzden iki biçim de faydalı olabileceğinden daha sık kontrol etmez. Altı saat, bir sertifikanın bozulması ile HostTracker'ın fark etmesi arasındaki en kötü durumun birkaç saat olduğu anlamına gelir; bu da normalde size 30 günlük bir uyarı süresi veren bir şey üzerinde geçerlidir.

HostTracker, hem SSL/TLS sertifikaları hem de alan adı kayıtları için bir süre sonu tarihinden 30 gün, 7 gün ve 1 gün önce hatırlatma bildirimleri gönderir. Tek bir basamak yerine üç basamak vardır, çünkü her biri farklı bir tür kaçırmayı yakalar: 30 gün, bir satın alma siparişi açmak veya bozuk bir yenileme işini onarmak için yeterli süredir, 7 gün kimsenin ele almadığı bileti yakalar ve 1 gün, tarayıcılar ziyaretçilerinizi uyarmaya başlamadan önceki son çağrıdır.

Bir hatırlatma bir kesinti uyarısı değildir ve HostTracker ikisini birbirinden ayrı tutar. Sertifika şu anda gerçekten geçersizse - süresi dolmuş, iptal edilmiş, güvenilmeyen bir köke zincirlenmiş veya farklı bir ana bilgisayar adı için düzenlenmişse - bu başarısız bir kontroldür ve her birinin seçtiği gecikmeyle normal kesinti uyarısı kişileriniz üzerinden yükseltilir: anında ya da 3, 5, 15, 30 veya 60 dakika sonra ya da 3, 6, 12 veya 24 saat sonra.

Uyarılar, HostTracker'ın desteklediği dokuz kanal üzerinden gönderilir - e-posta, SMS, sesli arama, webhook, Slack, web push ve Telegram, Discord ile Viber mesajlaşma uygulamaları. Sertifika yenilemeleri ve alan adı yenilemeleri genellikle farklı kişiler tarafından yönetilir; bu yüzden ikisini de iletişim listesine ekleyin: yalnızca monitörü kuran kişinin gelen kutusuna ulaşan hatırlatma, kaçırılan hatırlatmadır.

Yukarıdaki merdiven, pratikte SSL sertifikası son kullanma takibinin ta kendisidir. HostTracker her altı saatte bir sunucunuzun gerçekten sunduğu sertifikayı yeniden okur ve kalan günleri yeniden hesaplar; bu sayılardan üçüne bir hatırlatma bağlıdır.

Üç basamak 30, 7 ve 1 gün olarak sabittir ve aynı merdiven sertifikaların yanı sıra alan adı kayıtlarını da kapsar. Hatırlatma bilgilendiricidir ve tek başına bir monitörü asla Down yapmaz; gerçekten geçersiz bir sertifika - süresi dolmuş, iptal edilmiş, başka bir ana bilgisayar adına verilmiş veya güvenilmeyen bir köke bağlı - başarısız bir kontroldür ve diğer her arıza gibi yükseltilir.

Henüz izlemiyor musunuz? Ücretsiz anlık SSL kontrolü aynı sertifikayı okur ve aynı bitiş tarihini, vericiyi, zinciri ve anlaşılan TLS sürümünü bildirir - bir kez, hemen şimdi, hesap gerekmeden. Son kullanma takibi ise aynı kontrolün altı saatlik döngüsüdür, üç hatırlatma da ona bağlıdır.

Yukarıdaki sertifika monitörü "bu sertifika geçerli mi" sorusunu yanıtlar. Bir HTTPS erişilebilirlik monitöründeki ayrı bir anahtar seti ise daha zor bir soruyu yanıtlar - "bu bağlantı bizim standardımıza uygun mu" - ve her biri isteğe bağlıdır, çünkü hepsini her müşteri için açmak, sahipleri tarafından tam olarak amaçlandığı gibi çalışan pek çok siteyi başarısız kılardı.

• Geçerli bir sertifika zinciri gerektir. Varsayılan olarak kapalıdır; böylece dahili bir ana bilgisayardaki kendinden imzalı bir sertifika, çalışma süresi kontrolünü başarısız kılmaz. Herkese açık her şey için açın.
• Güçlü bir TLS protokolü gerektir. Sunucu TLS 1.2'nin altında herhangi bir şeyle anlaştığında kontrolü başarısız kılar - bir sıkılaştırma projesinden sonra kullanışlı olan anahtardır; böylece geri alınan bir yapılandırma, eski bir protokolü sessizce yeniden getiremez.
• Zayıf şifrelemeleri engelle. Anlaşılan şifreleme 128 bitten zayıf olduğunda kontrolü başarısız kılar.
• Sertifika iptalini kontrol et. Erişilebilirlik kontrolünün kendisine bir OCSP/CRL sorgusu ekler.

Bağımsız bir sertifika süre sonu monitörü, bu anahtarların hiçbiri olmadan zaten kendi başına zincir doğrulaması ve iptal kontrolü uygular - bunlar, çalışma süresi kontrolünüzün, sertifika monitörünün ne rapor ettiğinden bağımsız olarak güvenlik duruşunuzun gerektirdiği kadar sıkı yapılabilmesi için vardır.

Otomatik yenileme, süre dolumu olaylarını sona erdirmesi gereken bir şeydi ve büyük ölçüde de öyle oldu. Değiştirdiği şey, kalan olayların şeklidir: bir insanın bir tarihi unutması yerine, bir otomasyon parçası çalışmayı durdurur ve kimse fark etmez; çünkü çalışan otomasyon sessizdir ve bozuk otomasyon da tam olarak aynı şekilde sessizdir. Sertifika ömürleri, sektör genelinde giderek kısalıyor - yaygın olarak kullanılan ücretsiz yetkililer 90 günlük sertifikalar veriyor ve tarayıcıların kabul ettiği maksimum ömür kademeli olarak azaltılıyor - bu da yenilemenin artık yılda birçok kez gerçekleştiği ve bu yenilemelerin herhangi birinin başarısız olan o yenileme olabileceği anlamına geliyor.

Bildirilen arızalar şöyle görünüyor:

• Yenileme cron işi aylar önce durdu. Son yenilediği sertifika 90 gün geçerliydi; bu yüzden arıza ancak 91. günde görünür hâle geldi.
• Yenileme başarılı oldu, ama hiçbir şey yeniden yüklenmedi. Yeni sertifika diskte dururken web sunucusu, yük dengeleyici veya konteyner belleğinden eski olanı sunmaya devam ediyor. Her yenileme günlüğü başarı diyor.
• Birkaç düğümden biri atlandı. Bir yük dengeleyicinin arkasında, çoğu istek yeni sertifikayı alırken bir kısmı süresi dolmuş olanı alır - bu yüzden aralıklı, "bende çalışıyor" tarzı bir sertifika hatası neredeyse her zaman bir filo tutarlılığı sorunudur.
• Kenar (edge) sorunsuz, kaynak (origin) değil. CDN'iniz kendi geçerli sertifikasını sunarken altındaki kaynağın sertifikasının süresi doldu. Doğrudan kaynakla konuşan her şey bozulur.
• Doğrulama yöntemi çalışmayı durdurdu. Bir DNS kaydı düzenlendi, bir /.well-known/ yolu yönlendirmeye başladı, bir güvenlik duvarı kuralı değişti - ve buna bağlı olan yenileme sessizce geçmemeye başladı.
• Joker karakter (wildcard) yeni alt alan adını kapsamadı. Bir joker karakter sertifikası tek bir düzeyi kapsar; bu yüzden daha derin bir etiket altında eklenen bir ana bilgisayar onun tarafından hiç kapsanmaz.

Bunların her biri kendi dağıtım hattınızın içinden görünmezken dışarıdan bakıldığında açıktır; harici bir gözlemcinin varlık nedeni tam olarak budur. Bir yabancının tarayıcısının bağlandığı şekilde bağlanan bir monitör, otomasyonunuzun kurduğuna inandığı sertifikayı değil, gerçekte sunduğunuz sertifikayı görür.

Alan adı tarafı, sunucuya değil kayıt kuruluşuna (registry) sorar. HostTracker, alan adını RDAP üzerinden sorgular - WHOIS'in modern, yapılandırılmış halefi - TLD'niz için hangi kayıt kuruluşunun yanıt verdiğini IANA'nın kendi yayımladığı dizinden çözer ve henüz bir RDAP hizmeti yayımlamayan TLD'ler için 43 numaralı porttaki klasik bir WHOIS sorgusuna geri döner. Sorgu sabit altı saatlik bir sıklıkta çalışır ve kontrol şunları raporlar:

• kayıt kuruluşunun tuttuğu süre sonu tarihi - fatura sisteminizdeki değil, yetkili olan tarih;
• RDAP'ın sağladığı durumlarda, alan adındaki kayıt kuruluşu durum kodları - bir transfer kilidinin devrede olup olmadığı dahil;
• kayıt kuruluşunun tarihi bir önceki kontrolden farklı olduğunda ayrı bir "süre sonu tarihi değişti" bildirimi - bir yenilemenin gerçekten gerçekleştiğini bu şekilde doğrularsınız ve yetkilendirmediğiniz bir yenilemeyi bu şekilde öğrenirsiniz.

Bu sonuncusu, sayfadaki sessizce en kullanışlı sinyaldir. Ödediğiniz ama kayıt kuruluşuna hiç ulaşmayan bir yenileme, 30 günlük hatırlatma tetiklenene kadar sağlıklı bir alan adıyla tıpatıp aynı görünür. Tarihin kendisinin değiştiğini izlemek, yenilemeyi gerçekleştiğini umduğunuz bir şeyden görebildiğiniz bir şeye dönüştürür.

Bir monitör olarak değil de tam kayıt kaydını - kayıt firması, ad sunucuları, oluşturma tarihi - hemen şimdi mi istiyorsunuz? Ücretsiz WHOIS ve alan adı süre sonu sorgusunu çalıştırın; giriş gerekmez. Tekrarlanan monitör, kasıtlı olarak daha azını raporlar, çünkü değişen şeyler süre sonu ve durumdur.

1. Herhangi bir şeyi otomatikleştirmeden önce bugünün süre sonu tarihlerini bilmek için önce alan adını ücretsiz anlık kontrol ile sorgulayın.
2. Sitenin çalışma süresini zaten izliyorsanız, o monitörü açın ve sertifika izlemeyi ve alan adı süre sonu izlemeyi açın. Yeni bir monitör yok, ek bir istek yok.
3. Çalışma süresi için izlemediğiniz her şey için - bir posta sunucusu, dahili bir ağ geçidi, alternatif bir port - bağımsız bir Sertifika süre sonu monitörü ekleyin ve ona ana bilgisayar:port verin. Portu belirtmezseniz 443 varsayılır.
4. Sahip olduğunuz her kaydedilebilir alan adı için - savunma amaçlı kayıtlar ve yönlendirme alan adları dahil - bir Alan adı süre sonu monitörü ekleyin. Süresi dolan tam olarak bunlardır, çünkü üzerinde site olmayan bir alan adını kimse izlemez.
5. İletişim listesine birden fazla kişi ekleyin. Sertifikalar ve alan adları genellikle farklı ekipler tarafından yönetilir ve yalnızca monitörü kuran kişiye ulaşan hatırlatma, o kişi iş değiştirdiğinde okunmadan kalan hatırlatmadır.
6. Hatırlatma merdivenini - 30, 7 ve 1 gün - not edin ve yenileme sürecinizin 30 gün içine sığdığından emin olun. Bir satın alma siparişi altı hafta sürüyorsa, kısıtınız merdiven değil, süreçtir.

Ücretsiz SSL denetleyici araçları - HostTracker'ın kendisi dahil - gerçekten faydalıdır ve farklı bir soruyu yanıtlar. Bir denetleyici size sorduğunuz andaki sertifika durumunu söyler. İzleme ise size, o durum siz bakmıyorken değiştiğinde bunu söyler - ki önemli olan tek an da budur.

Sertifikalar, kimse sunucunuza dokunmadan yanlış gidebilecek bir alan adıyla ilgili diğer şeylerin yanında yer alır. Süre dolumu tarafı izlendikten sonra, genellikle sıradaki iki şey kötü amaçlı yazılım ve kimlik avı işaretleridir ve DNS kara liste kayıtlarıdır - ikisi de siteyi ayakta bırakıp trafiği yok eden sessiz itibar arızalarıdır.

• STARTTLS yok. Kontrol bağlanır ve hemen TLS el sıkışmasını başlatır; bu yüzden doğrudan TLS konuşan herhangi bir portta çalışır. Düz metinle başlayıp oturum ortasında yükselen protokoller - 587'deki SMTP, 143'teki IMAP, açık-TLS FTP - kontrolün gerçekleştirmediği bir anlaşma gerektirir. Bunun yerine örtük-TLS portunu hedefleyin.
• Hatırlatma günleri 30, 7 ve 1 olarak sabittir. Şu anda monitör başına bir ayar değildir.
• Erişilemeyen bir iptal yanıtlayıcısı başarısız değil, raporlanır. Bu kasıtlıdır - bir sertifika yetkilisinin OCSP kesintisi sizin sitenizin kesintisi değildir - ama iptal kapsamının üçüncü bir tarafın ayakta olmasına bağlı olduğu anlamına gelir.
• Sertifika Şeffaflığı (Certificate Transparency) günlükleri izlenmez. HostTracker size sunulan sertifika hakkında bilgi verir; alan adınız için başka biri tarafından düzenlenen sertifikalar için genel CT günlüklerini izlemez.
• İstemci sertifikaları test edilmez. Kontrol, sunucunun sunduğu sertifikayı doğrular, karşılıklı-TLS (mutual-TLS) el sıkışmasını değil.
• Alan adı kapsamı kayıt kuruluşlarını izler. TLD'nin yayımladığı yerlerde RDAP, yayımlamadığı yerlerde klasik WHOIS kullanılır; az sayıda bilinmeyen TLD ikisini de düzgün yayımlamaz ve kontrol, bir tarih biliyormuş gibi davranmak yerine bir sorgu hatası raporlar.