Наблюдение и поддръжка

Какво става, ако сертификатът на сайта изтече?

Браузърът може да прекъсне достъпа с предупреждение за невалиден сертификат, а други клиенти да откажат връзката. Проверете реалния срок, показвания сертификат и настройките. Това не доказва автоматично пробив или определена загуба в Google.

Какво вижда посетителят?

Съобщението зависи от браузъра, версията и езика. Firefox документира SEC_ERROR_EXPIRED_CERTIFICATE за изтекъл сертификат и препоръчва проверка на часовника на устройството. Неправилната дата също може да доведе до проблем при проверката.

Установете точната грешка и кой сертификат се обслужва на засегнатия адрес. Не разчитайте на един и същ символ за катинар във всеки браузър. Не насочвайте клиентите да заобикалят предупреждението; отстранете причината за невалидната връзка.

Какво означава това за HTTPS?

Сертификатът участва в проверката на самоличността на сървъра. Изтичането е проблем с валидността му, не доказателство, че вече е извършено прихващане на данни. Самото предупреждение не установява дали има атака.

Някои клиенти отказват връзката без страница за продължаване. При API това може да се прояви като техническа грешка в автоматизацията. Проверете всички засегнати адреси и услуги според използваните сертификати, вместо да приемате, че проблемът е само в началната страница.

Какво може да се твърди за Google?

Google обявява HTTPS като сигнал за класиране през 2014. Това историческо съобщение не установява фиксирано наказание, незабавен спад или размер на загубата при всеки изтекъл сертификат.

Поправете достъпа и проверете действителните данни за обхождане и трафик. Браузърното предупреждение е проблем за посетителя, но само по него не може да изчислите промяна в позициите или приходите.

Как се съкращава максималната валидност?

Изискванията на CA/Browser Forum се отнасят до публично доверени TLS сървърни сертификати. „SSL сертификат“ е разпространено название. Максимумът зависи от датата на издаване:

Това не съкращава със задна дата вече издаден сертификат и не означава, че всеки нов получава максималния срок. От 15 март 2029 повторното използване на проверка на домейн или IP адрес е ограничено до 10 дни; това е различен срок от валидността на сертификата.

Не пренасяйте автоматично графика върху частна вътрешна инфраструктура или други видове сертификати. Годишен договор с доставчик също не означава годишна валидност на един сертификат. Следете действителната дата на изтичане.

Какъв е практическият ефект?

Предупреждение или отказана връзка може да прекъсне запитване, плащане или обмен на данни. Последиците зависят от функциите и момента, не от общо правило за сигурен спад на продажбите.

Let’s Encrypt препоръчва автоматизирано подновяване преди изтичането. Проверявайте не само издаването, а и инсталирането и действително показвания сертификат. Автоматична задача може да се провали; определете отговорник и сигнал, без да разчитате единствено на календарно напомняне.

Въпроси

Има ли гратисен период?

Търговски срок за подновяване не удължава валидността в сертификата. Поведението на клиента зависи от неговата проверка и политика. Проверете точния срок и грешката, вместо да приемате допълнителни дни достъп.

Засягат ли се вътрешни инструменти?

Може да се засегнат портали, API и други клиенти, използващи изтеклия сертификат. Те могат да покажат различни грешки. Правилата за публичните сертификати не определят автоматично срока на частна вътрешна PKI.

Автоматичното подновяване достатъчно ли е?

Не само като включена настройка. Проверете успешната проверка на домейна, наличния достъп и сертификата, който услугата действително използва. Домейнът и самата автоматизация също изискват определени отговорници.

Източници

Още по темата

Следваща стъпка

Следете срока и отговорника за подновяване.

Нашето наблюдение проверява срока на сертификата заедно с домейна в часовата проверка по писмения опис. Това не гарантира, че никога няма да изтече сертификат, и не включва автоматично всяка задача по подновяване или подмяна. Нужната работа се уточнява в договорения обхват.

Попитайте за наблюдение

или ни пишете на contact@ergostrat.com