Monitoring certyfikatu SSL: ostrzeżenie, zanim przeglądarka pokaże alarm
Wygasły certyfikat to jedyna awaria, której datę znasz z wyprzedzeniem co do minuty, a i tak zaskakuje w sobotę rano. Uptimo odczytuje termin ważności i wystawcę z każdego monitorowanego adresu https i ostrzega tyle dni wcześniej, ile ustawisz. Bez zakładania osobnej usługi i w każdym planie, także darmowym.
Co się dzieje w minucie, w której certyfikat traci ważność
To nie jest powolne pogarszanie się usługi. Do ostatniej sekundy wszystko działa, a potem przeglądarka przestaje wpuszczać kogokolwiek na stronę.
Pełnoekranowe ostrzeżenie zamiast strony
Odwiedzający widzi komunikat o niebezpiecznym połączeniu i przycisk powrotu. Żeby wejść dalej, musi świadomie zignorować ostrzeżenie, czego prawie nikt nie robi.
Integracje przestają rozmawiać
Bramka płatności, kurier i system magazynowy odrzucają połączenie, bo weryfikują certyfikat twardziej niż przeglądarka. Zamówienia przestają wchodzić, choć serwer stoi i odpowiada.
Wiadomości transakcyjne się odbijają
Powiadomienia wysyłane przez usługę korzystającą z tego samego certyfikatu przestają dochodzić, zwykle bez czytelnego komunikatu o przyczynie.
Zaufanie wraca wolniej niż certyfikat
Odnowienie zajmuje kwadrans. Klient, który zobaczył ostrzeżenie o niebezpiecznej stronie, wraca po dłuższym czasie albo wcale.
Jak wygląda to sprawdzenie w Uptimo
Nie zakładasz osobnej usługi „certyfikat”. Każdy monitorowany adres https jest sprawdzany także pod tym kątem, więc nie da się dodać strony i zapomnieć o jej certyfikacie.
Kanały alertów są te same co przy awarii: e-mail, Slack, Microsoft Teams, SMS i webhook, z eskalacją i potwierdzeniem „zajmuję się tym”. Certyfikat jest jedynym przypadkiem, w którym alert przychodzi z wyprzedzeniem, a nie po fakcie.
Dlaczego przypomnienie w kalendarzu nie wystarcza
Wpis w kalendarzu robi się raz, przy wdrożeniu, i zna tylko tę jedną datę. Certyfikat wymieniony awaryjnie w środku roku przesuwa termin, a wpis zostaje stary. Do tego kalendarz należy do osoby, a nie do usługi: po zmianie pracy przypomnienie odchodzi razem z nią. Sprawdzenie odczytuje prawdziwy stan z serwera przy każdym przebiegu, więc nie ma czego aktualizować ręcznie.
Automatyczne odnawianie też potrafi zawieść po cichu
Darmowe certyfikaty odnawiają się same, dopóki wszystko się zgadza. Wystarczy jednak zmiana adresu IP, przekierowanie blokujące weryfikację, usługa odnawiania wyłączona po restarcie albo limit po stronie wystawcy, a proces przestaje działać i nikomu tego nie mówi. Automat jest wygodny, ale to nie jest monitoring: mówi, że próbował, a nie że na serwerze leży ważny certyfikat.
Ile kosztuje pilnowanie certyfikatów
Tyle co nic, bo to sprawdzenie zajmuje nam milisekundy. Płaci się dopiero za scenariusze przeglądarkowe, które uruchamiają prawdziwą przeglądarkę.
Jeśli chodzi Ci wyłącznie o certyfikaty, plan darmowy załatwia sprawę i nie wymaga karty. Płatny plan bierze się wtedy, gdy poza datą ważności chcesz wiedzieć, czy klient może kupić.
Czego to sprawdzenie nie robi
- Nie pilnuje terminu ważności domeny. To osobna data i osobny dostawca; jeśli tego potrzebujesz, ustaw przypomnienie u rejestratora.
- Nie odnawiamy certyfikatu za Ciebie. Nie mamy dostępu do Twojego serwera i nie chcemy go mieć; mówimy tylko, kiedy trzeba działać.
- Odczytujemy termin ważności i wystawcę. Nie oceniamy siły szyfrowania i nie badamy unieważnienia certyfikatu.
- Sprawdzamy z jednej lokalizacji w Unii Europejskiej. Certyfikat podawany błędnie tylko części odbiorców może stąd wyglądać poprawnie.
O co pytają przed włączeniem
Zależy od tego, jak długo trwa u Ciebie wymiana. Przy automatycznym odnawianiu wystarcza siedem dni, bo to sygnał, że automat przestał działać. Przy certyfikacie kupowanym u dostawcy warto ustawić trzydzieści, bo dochodzi weryfikacja i faktura. Próg ustawia się osobno dla każdej usługi.
Tyle, ile adresów naprawdę chcesz mieć pod obserwacją. Wspólny certyfikat wygasa dla wszystkich naraz, ale każdy z tych adresów może przestać go poprawnie podawać osobno, na przykład po zmianie konfiguracji jednego serwera.
Wystawca i termin ważności są brane z bieżącego połączenia, więc po odnowieniu data na pulpicie przeskakuje na nową. To zwykle pierwszy dowód, że automatyczne odnawianie zadziałało.
Odczyt certyfikatu jest częścią monitorowania adresu https. Dla pozostałych usług używa się sprawdzenia portu TCP, które mówi, czy usługa nasłuchuje, ale certyfikatu z niej nie odczytuje.
Ostrzeżenie o certyfikacie przychodzi z wyprzedzeniem liczonym w dniach, więc trafia w zwykły dzień pracy, a nie w dyżur nocny. Eskalacja i okna serwisowe działają tak samo jak przy pozostałych sprawdzeniach, gdybyś chciał to doprecyzować.
Sprawdź, kiedy naprawdę wygasają Twoje certyfikaty
Załóż darmowe konto, wklej trzy adresy https i zobacz terminy ważności razem z wystawcami. Zajmuje to kwadrans i nie wymaga karty.