Die vermeidbarste Ursache für Ausfallzeiten
Der Ablauf von SSL-Zertifikaten ist wahrscheinlich die am einfachsten vermeidbare Ursache für Website-Ausfälle. Zertifikate laufen vorhersehbar ab. Sie kennen das genaue Datum Monate im Voraus. Dennoch legen abgelaufene Zertifikate jedes Jahr große Websites lahm.
Wenn ein Zertifikat abläuft, zeigen Browser eine ganzseitige Sicherheitswarnung an. Benutzer können nicht auf Ihre Website zugreifen, ohne sich durch die beängstigende Meldung „Ihre Verbindung ist nicht privat” zu klicken. Die meisten Benutzer klicken nicht durch. Sie gehen.
Für E-Commerce-Seiten bedeutet ein abgelaufenes Zertifikat null Verkäufe, bis es behoben ist. Für SaaS-Plattformen können sich Benutzer nicht anmelden. Für APIs schlagen alle Client-Verbindungen fehl. Die geschäftlichen Auswirkungen sind sofort und vollständig.
Dabei ist die Lösung meist einfach: Zertifikat erneuern und den Webserver neu starten. Das Problem ist nicht die Behebung. Das Problem ist zu wissen, dass es behoben werden muss, bevor Browser Warnungen anzeigen.
Warum Teams vergessen, Zertifikate zu erneuern
Es scheint unmöglich, etwas mit einer bekannten Frist in Monaten zu vergessen. Aber die Zertifikatserneuerung fällt aus vorhersehbaren Gründen durchs Raster.
Die Person, die das Zertifikat eingerichtet hat, hat das Unternehmen verlassen. Sechs Monate später geht die Erneuerungserinnerung an eine deaktivierte E-Mail-Adresse. Niemand sonst weiß, dass das Zertifikat existiert, bis es abläuft.
Die automatische Erneuerung ist stillschweigend fehlgeschlagen. Sie haben certbot mit automatischer Erneuerung eingerichtet. Es funktionierte ein Jahr lang. Dann wurde eine Berechtigung geändert, eine Firewall-Regel aktualisiert oder ein DNS-Eintrag modifiziert. Das Erneuerungsskript schlug fehl. Niemand bemerkte es, weil niemand es überwachte.
Das Zertifikat deckt mehrere Subdomains ab. Sie haben eine neue Subdomain hinzugefügt. Das Zertifikat deckt sie nicht ab. Benutzer dieser Subdomain sehen eine Warnung. Benutzer der Hauptdomain sehen nichts Falsches.
Sie verwenden mehrere Zertifizierungsstellen. Verschiedene Domains, verschiedene CAs, verschiedene Ablaufdaten. Es gibt keinen zentralen Ort, um den Status aller Ihrer Zertifikate zu sehen.
Was SSL-Überwachung prüft
Ein guter SSL-Monitor prüft mehr als nur das Ablaufdatum.
Ablaufdatum: Die offensichtlichste Prüfung. Sie möchten Warnungen 30, 14 und 7 Tage vor Ablauf. Mehrere Warnungen geben Ihnen Zeit, Dinge zu beheben, selbst wenn die erste Warnung übersehen wird.
Zertifikatskette: Ist die gesamte Kette gültig? Ein fehlendes Zwischenzertifikat unterbricht die Kette und löst Browser-Warnungen aus, selbst wenn das Blattzertifikat gültig ist.
Subject und SANs: Deckt das Zertifikat die überwachte Domain ab? Ein Zertifikat für example.com deckt api.example.com nicht ab, es sei denn, die SANs enthalten es.
Signaturalgorithmus: Verwendet das Zertifikat einen sicheren Algorithmus? Mit SHA-1 signierte Zertifikate sind veraltet. Moderne Browser lehnen sie ab.
Schlüsselgröße: RSA-Schlüssel unter 2048 Bit gelten als schwach. ECC-Schlüssel werden aus Leistungsgründen bevorzugt.
Sperrstatus: Wurde das Zertifikat von der CA widerrufen? Das ist selten, aber kritisch. Ein widerrufenes Zertifikat sollte sofort ersetzt werden.
SSL-Überwachung einrichten
SSL-Überwachung sollte automatisch sein. Sie sollten sich nicht daran erinnern müssen, Zertifikatsablaufdaten manuell zu prüfen.
PingWatchdog enthält SSL-Überwachung in jedem Tarif. Sie fügen eine Domain hinzu, und wir prüfen das Zertifikat alle 24 Stunden. Sie erhalten Warnungen 30, 14 und 7 Tage vor Ablauf. Wir prüfen die gesamte Kette, das Subject, die SANs, den Signaturalgorithmus und die Schlüsselgröße.
Wenn etwas nicht stimmt, wissen Sie es, bevor Ihre Benutzer es erfahren. Das ist der ganze Sinn.
Erfahren Sie mehr über die SSL-Überwachung von PingWatchdog.
Automatisierung der Zertifikatserneuerung
Die Überwachung sagt Ihnen, wann ein Zertifikat bald abläuft. Die Automatisierung verhindert, dass der Ablauf überhaupt eintritt.
Verwenden Sie certbot mit Let’s Encrypt: Let’s Encrypt bietet kostenlose 90-Tage-Zertifikate mit automatischer Erneuerung. Certbot übernimmt das ACME-Protokoll. Richten Sie einen Cron-Job oder Systemd-Timer ein, der certbot renew zweimal täglich ausführt. Fügen Sie einen Heartbeat-Monitor zum Erneuerungsskript hinzu, damit Sie wissen, ob die automatische Erneuerung fehlschlägt.
Nutzen Sie verwaltete Zertifikate Ihres Hosting-Anbieters: Viele Cloud-Anbieter und CDNs bieten verwaltetes SSL mit automatischer Erneuerung an. AWS Certificate Manager, Cloudflare SSL und ähnliche Dienste übernehmen die Erneuerung automatisch. Sie möchten dennoch eine externe Überwachung, um zu verifizieren, dass das Zertifikat aus Sicht des Benutzers gültig ist.
Nutzen Sie einen Überwachungsdienst: Auch mit automatischer Erneuerung sollten Sie Ihre Zertifikate extern überwachen. Die automatische Erneuerung kann fehlschlagen. Verwaltete Zertifikate können Probleme haben. Die externe Überwachung erfasst, was die interne Automatisierung übersieht.
Mehrere Domains und Subdomains
Wenn Sie mehrere Domains oder Subdomains betreiben, wird die Zertifikatsverwaltung schnell kompliziert.
Ein kleines SaaS-Unternehmen könnte haben: example.com, app.example.com, api.example.com, status.example.com, docs.example.com, cdn.example.com. Jede benötigt ein gültiges Zertifikat. Einige verwenden möglicherweise Wildcard-Zertifikate (*.example.com). Andere verwenden individuelle Zertifikate von verschiedenen CAs.
Überwachen Sie jede einzelne. Fügen Sie einen SSL-Monitor für jede Domain und Subdomain hinzu. Sie erhalten ein einziges Dashboard, das den Status und das Ablaufdatum jedes Zertifikats anzeigt. Wenn sich eines dem Ablauf nähert, wissen Sie welches und wann.
SSL-Überwachung vs. Uptime-Überwachung
SSL-Überwachung und Uptime-Überwachung dienen unterschiedlichen Zwecken. Die Uptime-Überwachung sagt: „Ihre Website ist erreichbar.” Die SSL-Überwachung sagt: „Ihre Website ist erreichbar und die Verbindung ist sicher.”
Eine Website mit einem abgelaufenen Zertifikat kann aus TCP-Sicht technisch immer noch „up” sein. Der Server antwortet. Aber der Browser blockiert den Zugriff. Ein Uptime-Monitor, der zur Prüfung von HTTP-Statuscodes konfiguriert ist, würde die Antwort sehen. Aber wenn der Monitor Weiterleitungen folgt oder jede Antwort akzeptiert, könnte er das Zertifikatsproblem übersehen.
Setzen Sie beides ein. Uptime-Überwachung für die Erreichbarkeit. SSL-Überwachung für die Zertifikatsgesundheit. Sie ergänzen sich gegenseitig.
Certificate-Transparency-Überwachung
Ein neuerer Ansatz zur SSL-Überwachung: Certificate-Transparency-Logs (CT-Logs). Jede öffentlich vertrauenswürdige CA muss Zertifikate in CT-Logs protokollieren. Sie können diese Logs auf neu ausgestellte Zertifikate für Ihre Domains überwachen.
Das erfasst zwei Dinge: legitime Zertifikate, von denen Sie nichts wussten (jemand in Ihrem Team hat eines von einer anderen CA gekauft) und bösartige Zertifikate (jemand gibt sich als Ihre Domain aus).
Tools wie Cert Spotter und der Certificate Transparency Monitor von Facebook bieten dies. Es ist eine fortgeschrittene Maßnahme, aber nützlich für Unternehmen mit strengen Sicherheitsanforderungen.
Jetzt starten
PingWatchdog enthält SSL-Überwachung in jedem Tarif. Der kostenlose Tarif deckt Ihre Domains mit 24-Stunden-Prüfungen und Ablaufwarnungen 30/14/7 Tage vorher ab. Kein separates Tool. Kein separates Abonnement.
SSL-Überwachung einrichten oder alle Überwachungsfunktionen kennenlernen. Lesen Sie auch: Was ist Uptime-Überwachung?