Certificaten en domeinen verlopen volgens een schema dat je niet ziet

Automatische verlenging is niet hetzelfde als verlenging

Iedereen heeft nu certificaatautomatisering, en precies daarom komen certificaatstoringen nog steeds voor: de verlenging is onzichtbaar tot de dag dat ze stil ophoudt te werken. Het ACME-account liep tegen een rate limit. Het pad van de HTTP-01-challenge zit nu achter authenticatie. De cronjob die verlengt is de cronjob waarvan niemand had gemerkt dat hij was gestopt. In alle gevallen blijft het certificaat werken — tot precies het uur waarop dat niet meer zo is, en dan weigeren elke browser en elke API-client tegelijk.

Een TLS-check leest wat de browser van een bezoeker zou lezen, van buiten je netwerk:

• Dagen tot verloop, met waarschuwingen op 30, 14, 7 en 1 dag vooraf — vier kansen om het te merken, zo verdeeld dat de eerste nog op een agendapunt valt in plaats van op een storing.
• Geldigheid van de keten, wat het ontbrekende intermediate certificaat pakt dat in jouw browser werkt omdat die het maanden geleden heeft gecached, en voor alle anderen faalt.
• SNI, zodat een host die meerdere certificaten levert wordt gecontroleerd op de naam die jou werkelijk aangaat, en niet op die waarmee de standaard-virtualhost antwoordt.

Het domein eronder

Een volkomen geldig certificaat op een domein waarvan de registratie is verlopen is nog steeds een storing, en het is de storing waar niemand een dashboard voor heeft — de verlengingsmelding ging naar een mailbox van iemand die is vertrokken.

• Verloop van de registratie, gelezen uit het register, gewaarschuwd volgens hetzelfde schema als een certificaat.
• DNS-resolutiefouten, zodat een verwijderd record of een nameserverwissel die niet is doorgevoerd opvalt als storing in plaats van als verbaasde klantmails.

Bevestigd voordat het je wekt

Zoals bij elk ander checktype moet een storing bevestigd worden door een tweede onafhankelijke EU-proberegio voordat iemand wordt gealerteerd. Een resolverfout in één regio is een resolverfout, geen storing.

Wat het niet doet

Het verlengt niets, en het bewaart je sleutels of je registrar-inloggegevens niet. Het kijkt van buiten mee en zegt het vroeg. Dat is opzet: een monitor met de macht om je certificaten te wijzigen is iets veel groters om te vertrouwen dan een die alleen leest.

Waar het vandaan loopt

Twee EU-proberegio's, data in Frankrijk op Scaleway, met een verwerkersovereenkomst die klaarligt voordat je ernaar vraagt. Beveiliging & data →