Wygasły certyfikat SSL to jedna z najłatwiejszych awarii do uniknięcia
Wygasający certyfikat SSL jest jednym z tych problemów, których trudno nazwać nieprzewidywalnymi. Data wygaśnięcia jest znana z dużym wyprzedzeniem, a mimo to jest częstą przyczyną niedostępności stron internetowych i sklepów.
Co gorsza, problem zwykle pojawia się nagle. Jeszcze wieczorem wszystko działa poprawnie, a następnego dnia przeglądarka zaczyna ostrzegać użytkowników przed połączeniem z witryną. W przypadku sklepu internetowego może to oznaczać realną utratę zamówień.
Przecież certyfikat odnawia się automatycznie
Automatyczne odnawianie certyfikatów, na przykład za pomocą Certbota, zdecydowanie zmniejsza ryzyko. Nie oznacza jednak, że można całkowicie zapomnieć o monitorowaniu ich ważności.
Proces odnowienia może przestać działać po zmianie konfiguracji serwera, DNS, adresu IP albo sposobu obsługi domeny. Podczas migracji na nową maszynę może również okazać się, że zadanie odpowiedzialne za automatyczne odnowienie nie zostało odtworzone.
Problemem bywają także certyfikaty wystawione ręcznie albo domeny, które mają nietypową konfigurację. Przez wiele tygodni wszystko może działać prawidłowo, więc brak odnowienia pozostaje niezauważony.
Dlaczego monitoring SSL powinien działać niezależnie od serwera
Sam serwer może uważać, że z certyfikatem wszystko jest w porządku. To jednak nie oznacza, że użytkownik rzeczywiście otrzyma poprawny certyfikat.
Monitoring z zewnątrz sprawdza domenę podobnie jak robi to odwiedzający stronę. Pozwala wykryć, że certyfikat jest nieprawidłowy, wygasa albo jego konfiguracja przestała odpowiadać rzeczywistemu środowisku.
Ile wcześniej ostrzegać o wygaśnięciu certyfikatu?
Nie ma jednej wartości odpowiedniej dla każdej domeny. Dla certyfikatów odnawianych automatycznie rozsądnym zapasem może być kilkanaście dni. Przy certyfikatach odnawianych ręcznie lepiej mieć znacznie więcej czasu na reakcję.
Najważniejsze jest to, aby alert pojawił się zanim wygaśnięcie stanie się problemem dla użytkowników. Powiadomienie w dniu wygaśnięcia jest praktycznie bezużyteczne, jeżeli osoba odpowiedzialna za serwer nie jest wtedy dostępna.
Co warto monitorować oprócz samej daty?
Monitoring SSL może być pierwszą warstwą kontroli, ale warto pamiętać również o innych elementach konfiguracji HTTPS. W zależności od środowiska znaczenie mogą mieć poprawność łańcucha certyfikatów, domena, dla której został wystawiony certyfikat, oraz konfiguracja serwera.
Najważniejsza zasada jest prosta: nie czekaj na komunikat przeglądarki, żeby dowiedzieć się, że certyfikat wygasł. Lepiej otrzymać informację odpowiednio wcześniej, kiedy problem można spokojnie usunąć.
Monitoring SSL jako prosta warstwa bezpieczeństwa
W przeciwieństwie do wielu problemów produkcyjnych, wygaśnięcia certyfikatu nie trzeba przewidywać. Wystarczy regularnie sprawdzać jego ważność i odpowiednio wcześnie sygnalizować zbliżający się termin.
To jeden z najprostszych elementów monitoringu, a jednocześnie taki, który może uchronić stronę przed całkowicie przewidywalną przerwą w działaniu.