Certificats et domaines expirent selon un calendrier que vous ne voyez pas

Le renouvellement automatique n'est pas le renouvellement

Tout le monde automatise ses certificats aujourd'hui, et c'est précisément pourquoi les pannes de certificat restent fréquentes : le renouvellement est invisible jusqu'au jour où il s'arrête silencieusement. Le compte ACME s'est fait limiter. Le chemin du challenge HTTP-01 est passé derrière une authentification. La tâche cron qui renouvelle est justement celle dont personne n'a vu l'arrêt. Dans tous les cas le certificat continue de fonctionner — jusqu'à l'heure où il ne fonctionne plus, et alors tous les navigateurs et tous les clients d'API refusent en même temps.

Une sonde TLS lit ce que lirait le navigateur d'un visiteur, depuis l'extérieur de votre réseau :

• Les jours restants avant expiration, avec une alerte à 30, 14, 7 et 1 jour — quatre occasions de s'en apercevoir, réparties pour que la première arrive quand c'est encore une entrée d'agenda et pas un incident.
• La validité de la chaîne, ce qui attrape l'intermédiaire manquant qui fonctionne dans votre navigateur, parce qu'il l'a mis en cache il y a des mois, et échoue pour tout le monde.
• Le SNI, pour qu'un hôte servant plusieurs certificats soit vérifié sur le nom qui vous intéresse et non sur ce que répond l'hôte virtuel par défaut.

Le domaine en dessous

Un certificat parfaitement valide sur un domaine dont l'enregistrement a expiré reste une panne, et c'est celle pour laquelle personne n'a de tableau de bord : l'avis de renouvellement est parti vers la boîte de quelqu'un qui a quitté l'entreprise.

• L'expiration de l'enregistrement, lue auprès du registre, signalée selon le même calendrier qu'un certificat.
• Les échecs de résolution DNS, pour qu'un enregistrement supprimé ou un changement de serveurs de noms mal propagé apparaisse comme une panne plutôt que sous forme d'e-mails clients perplexes.

Confirmé avant de vous réveiller

Comme pour tous les autres types de sonde, une panne doit être confirmée par une seconde région européenne indépendante avant que quiconque soit alerté. Un échec de résolveur dans une région est un échec de résolveur, pas une panne.

Ce que cela ne fait pas

Cela ne renouvelle rien, et cela ne détient ni vos clés ni vos identifiants de registrar. Cela observe depuis l'extérieur et vous prévient tôt. C'est volontaire : une supervision qui aurait le pouvoir de modifier vos certificats demanderait une confiance bien plus grande qu'une supervision qui se contente de lire.

D'où cela s'exécute

Deux régions de sondes européennes, données en France chez Scaleway, avec un DPA disponible avant que vous le demandiez. Sécurité & données →