SSL certifikát sa obnovuje automaticky. A čo ak nie?
Automatická obnova môže zlyhať na DNS, oprávneniach aj konfigurácii. Prečo kontrolovať certifikát, ktorý vidí návštevník.
Certifikáty dnes často obnovuje automat. To výrazne zjednodušuje prevádzku, ale nevylučuje chybu. Zmena proxy, DNS alebo prístupov môže obnovu zastaviť bez toho, aby si to niekto všimol. Expirácia sa potom prejaví až pri návšteve webu: varovaním v prehliadači alebo odmietnutým API spojením.
Kontrolujte certifikát na verejnom spojení
Nový certifikát môže byť uložený na disku, zatiaľ čo proxy stále poskytuje starý. Externá kontrola má overiť certifikát predložený klientovi pre konkrétny hostname. Sledujte dátum platnosti, zhodu názvu a dôveryhodný reťazec. Pri viacerých vstupných bodoch overte, že sa zmena dostala ku všetkým.
Nezabudnite na subdomény, API a menej používané služby. Certifikát hlavného webu nemusí pokrývať každú adresu. Wildcard má tiež konkrétny rozsah; nemožno z neho vyvodiť pokrytie ľubovoľnej hĺbky subdomén.
Obnova potrebuje fungujúce overenie domény
Pri HTTP-01 musí byť overovací obsah dostupný na požadovanej HTTP ceste; pri DNS-01 treba publikovať správny TXT záznam. Zmena firewallu, routovania alebo oprávnení DNS API môže tento proces prerušiť. Pozrite si výsledok poslednej obnovy, nie iba to, či je automatizačná služba spustená.
Prístupový token pre DNS overenie obmedzte na potrebný rozsah. Uchovávajte ho mimo repozitára a sledujte jeho platnosť. Rotácia tokenu má zahŕňať aj test obnovy, aby sa problém neodložil až na posledné dni platnosti certifikátu.
Upozornite s rezervou na opravu
Nastavte viac než jeden predstih pred expiráciou a priraďte jasného vlastníka. Konkrétny počet dní zvoľte podľa životnosti certifikátu a prevádzky tímu. Rezerva musí umožniť opraviť príčinu aj cez víkend alebo dovolenku. Alert deň pred expiráciou často ponechá príliš málo možností.
Po obnove overte načítanie v službe
Úspešné vydanie certifikátu ešte nemusí znamenať jeho nasadenie. Overte načítanie proxy alebo webserverom a následne vykonajte verejný test. Výsledok zaznamenajte spolu s hostname a termínom ďalšej expirácie. Pri automatizácii rozlišujte chybu vydania od chyby nasadenia.
- Je posledná obnova úspešná?
- Vidí klient nový certifikát a úplný reťazec?
- Pokrýva certifikát správny hostname?
- Dostane zodpovedný človek včasné upozornenie?
Čo si odniesť
Automatická obnova a externý monitoring sa dopĺňajú. Prvá certifikát zabezpečí, druhý overí, že ho služba naozaj poskytuje a že máte čas konať, ak sa niečo pokazí.
