Ανανέωση SSL: τι να ελέγχετε πριν λήξει το πιστοποιητικό του site

Καταγράψτε τις διευθύνσεις και τον υπεύθυνο

Ένα εταιρικό site μπορεί να χρησιμοποιεί περισσότερες διευθύνσεις από την αρχική του σελίδα: το κύριο domain, την έκδοση με www και μια ξεχωριστή εφαρμογή κρατήσεων ή παραγγελιών. Ξεκινήστε με μια μικρή καταγραφή των διευθύνσεων που χρησιμοποιούν πελάτες και προσωπικό. Για καθεμία σημειώστε πού φιλοξενείται, ποιος διαχειρίζεται το πιστοποιητικό και ποιος λαμβάνει τις ειδοποιήσεις.

Ο όρος SSL χρησιμοποιείται συχνά για τα πιστοποιητικά που εξυπηρετούν HTTPS μέσω TLS. Για την καθημερινή λειτουργία έχει σημασία το συγκεκριμένο όνομα που καλύπτεται και η πραγματική ημερομηνία λήξης. Ζητήστε αυτά τα στοιχεία για κάθε υπηρεσία· μην θεωρήσετε ότι ο έλεγχος της αρχικής σελίδας καλύπτει αυτομάτως όλες τις εφαρμογές της επιχείρησης.

Ελέγξτε ότι η αυτόματη ανανέωση λειτουργεί

Η πρώτη έκδοση ενός πιστοποιητικού και η μελλοντική ανανέωσή του είναι διαφορετικά βήματα. Ζητήστε από τον διαχειριστή να επιβεβαιώσει ποια προγραμματισμένη εργασία κάνει την ανανέωση, πότε εκτελέστηκε και αν καταγράφηκαν σφάλματα. Η ημερομηνία μιας επιτυχούς εκτέλεσης δεν σημαίνει απαραίτητα ότι εκδόθηκε νέο πιστοποιητικό: μπορεί να μην είχε ακόμη φτάσει η στιγμή ανανέωσης.

Όταν χρησιμοποιείται Certbot, η επίσημη τεκμηρίωση προβλέπει δοκιμή ανανέωσης. Ο διαχειριστής πρέπει να ελέγξει προηγουμένως τις ρυθμίσεις και τις συνοδευτικές ενέργειες, επειδή μια δοκιμή μπορεί να επηρεάσει προσωρινά τον web server. Καταγράψτε το αποτέλεσμα και επαναλάβετε τον έλεγχο μετά από ουσιαστική αλλαγή υποδομής.

Μάθετε πώς επιβεβαιώνεται ο έλεγχος του domain

Στην επαλήθευση HTTP-01 του Let's Encrypt, ο έλεγχος ξεκινά στη θύρα 80 και αναζητά συγκεκριμένο αρχείο κάτω από τη διαδρομή /.well-known/acme-challenge/. Ένα νέο firewall ή ένας κανόνας πρόσβασης μπορεί να εμποδίσει αυτή τη διαδρομή, ακόμη κι αν η αρχική σελίδα λειτουργεί κανονικά μέσω HTTPS.

Η επαλήθευση DNS-01 χρησιμοποιεί ειδική εγγραφή TXT. Αν αλλάξει ο πάροχος DNS ή ανακληθούν τα δικαιώματα του αυτοματισμού, ελέγξτε ξανά τη διαδικασία. Τα δικαιώματα πρόσβασης στο DNS πρέπει να περιορίζονται στο αναγκαίο αντικείμενο. Η κατάλληλη μέθοδος επιβεβαιώνεται από τον διαχειριστή του συγκεκριμένου περιβάλλοντος.

Συμπεριλάβετε τα πιστοποιητικά σε κάθε αλλαγή DNS

Μεταφορά hosting, αλλαγή nameservers ή προσθήκη CDN είναι καλή στιγμή για επανέλεγχο. Σημειώστε ποιος θα ελέγξει την έκδοση και ανανέωση μετά την αλλαγή και κρατήστε διαθέσιμο το αποτέλεσμα. Έτσι η εργασία δεν κλείνει μόνο επειδή εμφανίζεται η σωστή σελίδα.

Ελέγξτε επίσης τυχόν εγγραφές CAA. Αυτές ορίζουν ποιες αρχές πιστοποίησης επιτρέπεται να εκδίδουν πιστοποιητικά για το domain. Μια πολιτική που δεν επιτρέπει τη χρησιμοποιούμενη αρχή μπορεί να εμποδίσει νέα έκδοση. Η αφαίρεση όλων των περιορισμών δεν είναι η αυτονόητη λύση· ο διαχειριστής πρέπει να συμφωνήσει την πολιτική με την προβλεπόμενη διαδικασία έκδοσης.

Επιβεβαιώστε το πιστοποιητικό που εξυπηρετείται

Ένα νέο αρχείο στον server δεν αποδεικνύει ότι χρησιμοποιείται ήδη από την υπηρεσία. Μετά την ανανέωση, ελέγξτε από εξωτερικό δίκτυο το ακριβές όνομα του site, τη λήξη και την εγκυρότητα της αλυσίδας πιστοποίησης. Αν περισσότερα συστήματα εξυπηρετούν HTTPS, ο έλεγχος πρέπει να καλύπτει κάθε σχετικό σημείο.

Όταν μεσολαβεί CDN ή reverse proxy, μπορεί να υπάρχουν δύο συνδέσεις TLS: επισκέπτης προς ενδιάμεσο σύστημα και ενδιάμεσο σύστημα προς server προέλευσης. Το πιστοποιητικό που εμφανίζει ο browser αφορά την πρώτη σύνδεση. Ζητήστε χωριστή επιβεβαίωση για τη δεύτερη, όπου χρησιμοποιείται, χωρίς να παρακάμπτεται η επαλήθευση για να εξαφανιστεί ένα σφάλμα.

Ορίστε ειδοποίηση που φτάνει σε άνθρωπο

Συνδυάστε τον έλεγχο της ανανέωσης με ανεξάρτητη παρακολούθηση λήξης και αποτυχημένων συνδέσεων. Ορίστε ποιος αναλαμβάνει μια ειδοποίηση και ποιος τον καλύπτει όταν απουσιάζει. Επιλέξτε περιθώριο επέμβασης ανάλογα με τη διάρκεια του πιστοποιητικού και τον κύκλο ανανέωσης, αντί για ένα ίδιο όριο σε όλες τις υπηρεσίες.

Μην στηρίζετε τη διαδικασία αποκλειστικά σε υπενθύμιση της αρχής πιστοποίησης. Το Let's Encrypt έχει σταματήσει την υπηρεσία email ειδοποιήσεων λήξης. Επιβεβαιώστε ότι η δική σας παρακολούθηση έχει ενεργό παραλήπτη και ότι μια προειδοποίηση οδηγεί σε ανάθεση εργασίας, καταγραφή αποτελέσματος και επανέλεγχο.

Κλείστε τον έλεγχο με συγκεκριμένο αποτέλεσμα

Στείλτε στον υπεύθυνο φιλοξενίας μια σύντομη λίστα με τις διευθύνσεις και τα παρακάτω ερωτήματα. Κρατήστε ημερομηνία ελέγχου και επόμενο βήμα για ό,τι εκκρεμεί. Για υπηρεσία FastVPS, επιβεβαιώστε το αντικείμενο διαχείρισης του συγκεκριμένου πακέτου και τις ευθύνες για εξωτερικό DNS ή CDN.

• Ποιες διευθύνσεις ελέγχθηκαν και πότε λήγει το πιστοποιητικό καθεμιάς;
• Ποιος αυτοματισμός ανανεώνει και ποιος ελέγχει το αποτέλεσμα;
• Επαληθεύτηκε από έξω το πιστοποιητικό που χρησιμοποιείται τώρα;
• Ποιος θα ειδοποιηθεί και ποια αλλαγή απαιτεί νέο έλεγχο;