Что такое мониторинг SSL-сертификата?
Мониторинг SSL-сертификата - это автоматическая проверка TLS-сертификата, который сайт предоставляет клиентам. Он помогает обнаруживать приближающееся истечение срока действия, несоответствие hostname, проблемы с цепочкой сертификатов, доверием и неожиданные изменения сертификата до того, как они повлияют на посетителей.
Что такое SSL-сертификат?
TLS-сертификат связывает открытый ключ с определённой идентичностью, например именем домена, и используется при установлении аутентифицированного HTTPS-соединения. Современные сайты используют TLS, хотя термин «SSL-сертификат» по-прежнему широко используется.
Что должен проверять мониторинг SSL-сертификата?
Срок действия
У сертификата есть определённый период действия. Мониторинг может предупредить до истечения этого срока и дать время на продление или замену сертификата.
Соответствие hostname
Сертификат должен соответствовать hostname, к которому обращается клиент. Мониторинг должен проверить, что сертификат, предоставляемый для фактического hostname, соответствует ожидаемому имени домена.
Цепочка сертификатов
Сервер обычно передаёт цепочку сертификатов, позволяющую клиенту построить путь до доверенного корневого сертификата. Отсутствующий или неправильный промежуточный сертификат может вызвать ошибку соединения даже тогда, когда основной сертификат ещё действителен.
Доверие
Сертификат может находиться в пределах срока действия и при этом не пройти проверку доверия. Поэтому внешний мониторинг должен проверять сертификат так, как это делает реальный клиент, а не смотреть только на даты.
Конфигурация TLS
TLS-мониторинг может дополнительно проверять используемый протокол и характеристики соединения. Мониторинг сертификата является только одной частью общей HTTPS-конфигурации.
Неожиданные изменения
Сертификат может быть заменён до окончания срока действия. Мониторинг помогает обнаруживать неожиданные изменения издателя, покрытия hostname, срока действия или цепочки сертификатов.
Почему истечение сертификата важно?
После истечения срока действия публично доверенного сертификата клиенты могут отклонить HTTPS-соединение или показать предупреждение безопасности. Проблему легко не заметить, когда сертификаты обновляются автоматически, но автоматическое обновление завершается ошибкой или разворачивается неправильный сертификат.
Not Before → Not After
Почему важен hostname?
Действительный сертификат не обязательно подходит для любого hostname. Запрошенный hostname должен быть покрыт идентификацией сертификата, обычно через расширение Subject Alternative Name. Поэтому сертификат может быть действующим и доверенным, но неправильным для конкретного адреса.
example.com · www.example.com · *.example.com
Почему важна цепочка сертификатов?
TLS-клиенту необходимо построить действительный путь сертификации. Сервер обычно должен предоставить сертификаты, необходимые для построения этого пути, кроме доверенного корневого сертификата, который уже установлен у клиента. Неправильная цепочка может сломать HTTPS даже тогда, когда даты сертификата выглядят нормально.
Что на самом деле проверяет браузер?
Браузер проверяет не только дату окончания сертификата. При установлении HTTPS он проверяет идентичность сертификата, срок действия, отношения доверия и параметры TLS-соединения в соответствии со своими правилами безопасности. Поэтому простой тест «осталось 30 дней» недостаточен для надёжного мониторинга.
Как часто нужно проверять SSL?
SSL следует проверять достаточно регулярно, чтобы обнаруживать проблемы сертификата и неожиданные изменения до того, как они повлияют на пользователей. Частые внешние проверки также уменьшают вероятность того, что проблема станет известна только после жалоб посетителей.
Что делать, если сертификат изменился?
Сначала определите, было ли изменение ожидаемым. Автоматическое продление сертификата и плановая миграция являются нормальными. Неожиданное изменение издателя, покрытия hostname, срока действия или цепочки стоит проверить вместе с недавними деплоями, CDN, reverse proxy и системами управления сертификатами.
Как Viglar мониторит SSL
Viglar проверяет SSL/TLS-сертификат, который ваш сайт показывает из интернета, и отслеживает его срок действия и конфигурацию снаружи вашей инфраструктуры. Это даёт независимый взгляд на то, что реально получают посетители.
Хотите проверить свой сайт?
Запустите быструю внешнюю проверку Viglar и посмотрите текущие SSL, DNS и security-сигналы, видимые для вашего сайта.
Проверить сайт