Zertifikate und Domains laufen nach einem Zeitplan ab, den Sie nicht sehen

Automatische Verlängerung ist nicht dasselbe wie Verlängerung

Inzwischen hat jeder Zertifikatsautomatisierung, und genau deshalb sind Zertifikatsausfälle noch üblich: die Verlängerung ist unsichtbar, bis sie eines Tages leise aufhört zu funktionieren. Das ACME-Konto lief ins Rate-Limit. Der Pfad der HTTP-01-Challenge liegt jetzt hinter einer Authentifizierung. Der Cronjob, der verlängert, ist der Cronjob, dessen Stillstand niemand bemerkt hat. In jedem Fall funktioniert das Zertifikat weiter — bis genau zu der Stunde, in der es das nicht mehr tut, und dann verweigern jeder Browser und jeder API-Client gleichzeitig.

Ein TLS-Check liest, was der Browser eines Besuchers lesen würde, von außerhalb Ihres Netzes:

• Tage bis zum Ablauf, mit Warnungen 30, 14, 7 und 1 Tage vorher — vier Gelegenheiten, es zu merken, so verteilt, dass die erste noch auf einen Kalendereintrag statt auf einen Vorfall fällt.
• Gültigkeit der Kette, was das fehlende Intermediate erwischt, das in Ihrem Browser funktioniert, weil er es vor Monaten zwischengespeichert hat, und für alle anderen scheitert.
• SNI, damit ein Host mit mehreren Zertifikaten für den Namen geprüft wird, der Sie interessiert, und nicht für den, mit dem der Standard-VHost antwortet.

Die Domain darunter

Ein völlig gültiges Zertifikat auf einer Domain, deren Registrierung abgelaufen ist, ist trotzdem ein Ausfall — und der eine, für den niemand ein Dashboard hat: die Verlängerungsmitteilung ging an ein Postfach, das jemandem gehört, der das Unternehmen verlassen hat.

• Ablauf der Registrierung, aus dem Register gelesen, nach demselben Zeitplan gewarnt wie ein Zertifikat.
• DNS-Auflösungsfehler, damit ein gelöschter Eintrag oder ein Nameserver-Wechsel, der nicht propagiert wurde, als Fehler auffällt und nicht als ratlose Kunden-E-Mails.

Bestätigt, bevor es Sie weckt

Wie bei jedem anderen Checktyp muss ein Fehler von einer zweiten unabhängigen EU-Prüfregion bestätigt werden, bevor jemand alarmiert wird. Ein Resolver-Fehler in einer Region ist ein Resolver-Fehler, kein Ausfall.

Was es nicht tut

Es verlängert nichts, und es hält weder Ihre Schlüssel noch Ihre Registrar-Zugangsdaten. Es beobachtet von außen und sagt es früh. Das ist Absicht: ein Monitor mit der Macht, Ihre Zertifikate zu ändern, ist etwas viel Größeres, dem man vertrauen muss, als einer, der nur liest.

Woher es läuft

Zwei EU-Prüfregionen, Daten in Frankreich auf Scaleway, mit einem AVV, der bereitliegt, bevor Sie fragen. Sicherheit & Daten →