Мониторинг SSL сертификата: предупредим за 30, 14 и 3 дня до конца срока действия

Три предупреждения и что значит «30 дней»

Tenium отправляет оповещения о сроке действия сертификата, когда до его окончания остаётся 30, 14 и 3 дня. Каждый порог даёт одну партию оповещений на сертификат, а после продления, когда дата окончания сдвигается вперёд, все три окна начинаются заново. Даты фиксированные, их нельзя настроить. Это сделано намеренно: предупреждения за 90 дней, которое все давно научились игнорировать, у вас не появится.

Отметка в 30 дней имеет практический смысл. Certbot и большинство ACME-клиентов продлевают сертификат, когда остаётся около 30 дней, поэтому сертификат Let’s Encrypt никогда не должен опускаться ниже этой границы. Если ваш монитор первым сообщает «осталось 30 дней» об автоматическом сертификате, значит, одно продление уже не сработало. Оповещения за 14 и 3 дня — эскалация на случай, если никто не отреагировал. Если у контакта настроены тихие часы, эти предупреждения могут дождаться утра. На пороге в 30 дней это не страшно, а на пороге в 3 дня об этом стоит помнить, поэтому последнее предупреждение отправляйте тому, кто не спит.

Что проверка считает «действительным»

Монитор SSL открывает TLS-соединение с вашим хостом и портом, передаёт имя хоста как SNI и читает сертификат, который пришёл в ответ. Затем проверяет три вещи: укладывается ли сертификат в срок действия, ведёт ли цепочка к корневому сертификату из стандартного хранилища доверия, покрывает ли сертификат имя хоста, включая wildcard и альтернативные имена. Сбои описаны простым языком: сертификат истёк такого-то числа, ещё не действует, самоподписан, цепочка не вызывает доверия или не совпадает с именем хоста.

Порт по умолчанию — 443, но подойдёт любой порт, где TLS начинается с первого байта, например 465 для SMTPS или 993 для IMAPS. Соединения, которые начинаются открытым текстом и затем переходят на шифрование, как STARTTLS на порту 587, этот монитор не поддерживает.

Нет промежуточного сертификата: в Chrome работает, в остальных местах нет

Сервер, который отдаёт только конечный сертификат без промежуточного, часто нормально открывается в настольных браузерах: они кэшируют или докачивают недостающее звено. Но тот же сервер не работает для curl, Java, Python, старых версий Android, платёжных webhook и любого другого клиента, который так не умеет. Tenium недостающие промежуточные сертификаты не докачивает, поэтому сообщает о недоверенной цепочке. Именно это увидели бы и потребители вашего API. Если браузер показывает «безопасно», а монитор говорит другое, установите файл с полной цепочкой (в терминах Let’s Encrypt это fullchain.pem) и перезагрузите веб-сервер.

SNI, виртуальный хост по умолчанию и чужой сертификат

Серверы, на которых размещено много сайтов, выбирают сертификат по имени хоста. Если виртуальный хост настроен неверно, посетитель получает сертификат сайта по умолчанию, и ошибка называется «не совпадает с именем хоста», хотя сам сертификат безупречен. Отслеживайте каждое публичное имя отдельно: и домен без www, и вариант с www, потому что их часто обслуживают разные блоки конфигурации. CDN или балансировщик добавляют ещё один слой: проверяйте то имя, которым пользуются клиенты, а не адрес origin-сервера. Каждая проверка смотрит на один полученный адрес, поэтому если ваши записи A и AAAA ведут на разные машины (нетипичная настройка), монитор сообщит о той, к которой подключился.

Почему продление молча не срабатывает

Причины обычно будничные:

• Вызовы HTTP-01 блокирует правило редиректа, WAF или виртуальный хост только для HSTS, который отдаёт 404 на /.well-known/acme-challenge/.
• Вызовы DNS-01 зависят от API-токена, который сменили или удалили.
• Задачу cron или таймер systemd так и не включили после переустановки сервера.
• Лимиты запросов после нескольких неудачных попыток: небольшая проблема превращается в недельную.
• Продление прошло успешно, но до веб-сервера не дошло: nginx или Apache не перезагрузили, и они продолжают отдавать из памяти старый сертификат.

Настройки, тарифы и соседние проверки

Мониторинг SSL входит в тариф Starter и выше. Интервал проверки выбираете вы: для сертификатов достаточно раза в час или реже, хотя более частый интервал пригодится в день замены сертификата. Каждый монитор https-сайта уже сохраняет срок действия сертификата, но отдельный монитор SSL добавляет выводы о цепочке и совпадении с именем хоста, а также сбой только на уровне TLS, который не зависит от того, возвращает ли страница нормальный код ответа. Этот же монитор читает и дату регистрации домена, об этом подробнее на странице срока действия домена.

Это не аудит безопасности. Версии протоколов, наборы шифров, OCSP и certificate transparency в его задачи не входят: для этого возьмите специализированный сканер, а Tenium оставьте для вопроса «будет ли это работать завтра».