Моніторинг SSL сертифіката: сповістимо за 30, 14 і 3 дні до кінця терміну дії

Три попередження і що означає «30 днів»

Tenium надсилає сповіщення про термін дії сертифіката, коли до його закінчення лишається 30, 14 і 3 дні. Кожен поріг дає одну партію сповіщень на сертифікат, а після продовження, коли дата закінчення зсувається вперед, усі три вікна починаються знову. Дати фіксовані, а не налаштовуються. Це свідоме рішення: попередження за 90 днів, яке всі давно навчилися ігнорувати, у вас не з’явиться.

Позначка в 30 днів має практичний сенс. Certbot і більшість ACME-клієнтів продовжують сертифікат, коли лишається близько 30 днів, тож сертифікат Let’s Encrypt ніколи не повинен опинятися нижче цієї межі. Якщо ваш монітор першим повідомляє «лишилося 30 днів» про автоматичний сертифікат, значить, одне продовження вже не спрацювало. Сповіщення за 14 і 3 дні — це ескалація на випадок, коли ніхто не відреагував. Якщо в контакту налаштовано тихі години, ці попередження можуть дочекатися ранку. На порозі в 30 днів це не страшно, а на порозі в 3 дні про це варто пам’ятати, тож останнє попередження спрямуйте тому, хто не спить.

Що перевірка вважає «дійсним»

Монітор SSL відкриває TLS-з’єднання з вашим хостом і портом, передає ім’я хоста як SNI та зчитує сертифікат, який повернувся. Далі перевіряє три речі: чи сертифікат у межах терміну дії, чи ланцюжок веде до кореневого сертифіката зі стандартного сховища довіри, чи сертифікат покриває ім’я хоста, включно з wildcard і альтернативними іменами. Збої описано простою мовою: сертифікат прострочено такого-то числа, ще не набув чинності, самопідписаний, ланцюжок не викликає довіри або не збігається з ім’ям хоста.

Типовий порт — 443, але підійде будь-який порт, де TLS починається з першого байта, наприклад 465 для SMTPS або 993 для IMAPS. З’єднання, які починаються відкритим текстом і потім переходять на шифрування, як STARTTLS на порту 587, цей монітор не підтримує.

Немає проміжного сертифіката: у Chrome працює, деінде ні

Сервер, який віддає лише кінцевий сертифікат без проміжного, часто нормально відкривається в настільних браузерах: вони кешують або докачують відсутню ланку. Але той самий сервер не працює для curl, Java, Python, старих версій Android, платіжних webhook і будь-якого іншого клієнта, що так не вміє. Tenium відсутні проміжні сертифікати не докачує, тому повідомляє про ненадійний ланцюжок. Саме це побачили б і споживачі вашого API. Якщо браузер показує «безпечно», а монітор каже інакше, встановіть файл із повним ланцюжком (у термінах Let’s Encrypt це fullchain.pem) і перезавантажте вебсервер.

SNI, віртуальний хост за замовчуванням і не той сертифікат

Сервери, на яких розміщено багато сайтів, обирають сертифікат за іменем хоста. Якщо віртуальний хост налаштовано неправильно, відвідувач отримує сертифікат сайту за замовчуванням, і помилка називається «не збігається з ім’ям хоста», хоча сам сертифікат бездоганний. Відстежуйте кожне публічне ім’я окремо: і домен без www, і варіант із www, бо їх часто обслуговують різні блоки конфігурації. CDN чи балансувальник додають ще один шар: перевіряйте те ім’я, яким користуються клієнти, а не адресу origin-сервера. Кожна перевірка дивиться на одну отриману адресу, тому якщо ваші записи A і AAAA ведуть на різні машини (нетипове налаштування), монітор повідомить про ту, до якої підключився.

Чому оновлення мовчки не спрацьовують

Причини зазвичай буденні:

• Виклики HTTP-01 блокує правило редиректу, WAF або віртуальний хост лише для HSTS, який віддає 404 на /.well-known/acme-challenge/.
• Виклики DNS-01 залежать від API-токена, який змінили або видалили.
• Завдання cron або таймер systemd так і не ввімкнули після перевстановлення сервера.
• Ліміти запитів після кількох невдалих спроб: невелика проблема перетворюється на тижневу.
• Оновлення пройшло успішно, але до вебсервера не дійшло: nginx чи Apache не перезавантажили, і вони досі віддають зі своєї пам’яті старий сертифікат.

Налаштування, тарифи та суміжні перевірки

Моніторинг SSL входить у тариф Starter і вище. Інтервал перевірки обираєте ви: для сертифікатів достатньо раз на годину чи рідше, хоча частіший інтервал стане в пригоді в день заміни сертифіката. Кожен монітор https-сайту вже зберігає термін дії сертифіката, але окремий монітор SSL додає висновки про ланцюжок і збіг з ім’ям хоста, а також збій лише на рівні TLS, який не залежить від того, чи сторінка повертає хороший код відповіді. Цей самий монітор зчитує й дату реєстрації домену, про це детальніше на сторінці терміну дії домену.

Це не аудит безпеки. Версії протоколів, набори шифрів, OCSP і certificate transparency поза його завданням: для цього візьміть спеціалізований сканер, а Tenium залиште для питання «чи це все ще працюватиме завтра».