La causa più evitabile di downtime
La scadenza dei certificati SSL è forse la causa più evitabile di interruzioni dei siti web. I certificati scadono in modo prevedibile. Conosci la data esatta con mesi di anticipo. Eppure, certificati scaduti mandano offline siti importanti ogni anno.
Quando un certificato scade, i browser mostrano un avviso di sicurezza a schermo intero. Gli utenti non possono accedere al tuo sito senza cliccare attraverso lo spaventoso messaggio “La tua connessione non è privata”. La maggior parte degli utenti non clicca. Se ne va.
Per i siti e-commerce, un certificato scaduto significa zero vendite fino a quando non viene risolto. Per le piattaforme SaaS, significa che gli utenti non possono accedere. Per le API, tutte le connessioni client falliscono. L’impatto aziendale è immediato e totale.
E la soluzione è solitamente semplice: rinnovare il certificato e riavviare il server web. Il problema non è la soluzione. Il problema è sapere che deve essere risolto prima che i browser inizino a mostrare avvisi.
Perché i team dimenticano di rinnovare i certificati
Sembra impossibile dimenticare qualcosa con una scadenza nota con mesi di anticipo. Ma il rinnovo dei certificati viene trascurato per ragioni prevedibili.
La persona che ha configurato il certificato ha lasciato l’azienda. Sei mesi dopo, l’avviso di rinnovo arriva a un indirizzo email disattivato. Nessun altro sa che il certificato esiste fino a quando non scade.
Il rinnovo automatico è fallito silenziosamente. Hai configurato certbot con rinnovo automatico. Ha funzionato per un anno. Poi un permesso è cambiato, una regola del firewall è stata aggiornata o un record DNS è stato modificato. Lo script di rinnovo è fallito. Nessuno se n’è accorto perché nessuno lo stava monitorando.
Il certificato copre più sottodomini. Hai aggiunto un nuovo sottodominio. Il certificato non lo copre. Gli utenti di quel sottodominio vedono un avviso. Gli utenti del dominio principale non vedono nulla di sbagliato.
Utilizzi più autorità di certificazione. Domini diversi, CA diverse, date di rinnovo diverse. Non esiste un unico posto per vedere lo stato di tutti i tuoi certificati.
Cosa controlla il monitoraggio SSL
Un buon monitor SSL controlla più della semplice data di scadenza.
Data di scadenza: Il controllo più ovvio. Vuoi avvisi a 30, 14 e 7 giorni prima della scadenza. Avvisi multipli ti danno il tempo di risolvere anche se il primo avviso viene perso.
Catena di certificati: L’intera catena è valida? Un certificato intermedio mancante interrompe la catena e attiva gli avvisi del browser, anche se il certificato foglia è valido.
Soggetto e SAN: Il certificato copre il dominio monitorato? Un certificato per example.com non copre api.example.com a meno che i SAN non lo includano.
Algoritmo di firma: Il certificato utilizza un algoritmo sicuro? I certificati firmati con SHA-1 sono deprecati. I browser moderni li rifiutano.
Dimensione della chiave: Le chiavi RSA inferiori a 2048 bit sono considerate deboli. Le chiavi ECC sono preferite per le prestazioni.
Stato di revoca: Il certificato è stato revocato dalla CA? È raro ma critico. Un certificato revocato deve essere sostituito immediatamente.
Configurare il monitoraggio SSL
Il monitoraggio SSL dovrebbe essere automatico. Non dovresti dover ricordare di controllare manualmente le date di scadenza dei certificati.
PingWatchdog include il monitoraggio SSL in ogni piano. Aggiungi un dominio e controlliamo il certificato ogni 24 ore. Ricevi avvisi a 30, 14 e 7 giorni prima della scadenza. Controlliamo l’intera catena, il soggetto, i SAN, l’algoritmo di firma e la dimensione della chiave.
Se qualcosa non va, lo sai prima dei tuoi utenti. Questo è il punto.
Scopri di più sul monitoraggio SSL di PingWatchdog.
Automatizzare il rinnovo dei certificati
Il monitoraggio ti dice quando un certificato sta per scadere. L’automazione impedisce che la scadenza si verifichi.
Usa certbot con Let’s Encrypt: Let’s Encrypt fornisce certificati gratuiti di 90 giorni con rinnovo automatico. Certbot gestisce il protocollo ACME. Configura un cron job o un timer systemd per eseguire certbot renew due volte al giorno. Aggiungi un monitor heartbeat allo script di rinnovo per sapere se il rinnovo automatico fallisce.
Usa i certificati gestiti del tuo provider di hosting: Molti provider cloud e CDN offrono SSL gestito con rinnovo automatico. AWS Certificate Manager, Cloudflare SSL e servizi simili gestiscono il rinnovo automaticamente. Vuoi comunque un monitoraggio esterno per verificare che il certificato sia valido dal punto di vista dell’utente.
Usa un servizio di monitoraggio: Anche con il rinnovo automatico, monitora i tuoi certificati esternamente. Il rinnovo automatico può fallire. I certificati gestiti possono avere problemi. Il monitoraggio esterno rileva ciò che l’automazione interna perde.
Domini e sottodomini multipli
Se gestisci più domini o sottodomini, la gestione dei certificati diventa rapidamente complicata.
Una piccola azienda SaaS potrebbe avere: example.com, app.example.com, api.example.com, status.example.com, docs.example.com, cdn.example.com. Ognuno necessita di un certificato valido. Alcuni potrebbero usare certificati wildcard (*.example.com). Altri potrebbero usare certificati individuali da diverse CA.
Monitorali tutti. Aggiungi un monitor SSL per ogni dominio e sottodominio. Ottieni un’unica dashboard che mostra lo stato e la data di scadenza di ogni certificato. Quando uno si avvicina alla scadenza, sai quale e quando.
Monitoraggio SSL vs. monitoraggio dell’uptime
Il monitoraggio SSL e il monitoraggio dell’uptime servono a scopi diversi. Il monitoraggio dell’uptime dice “il tuo sito è raggiungibile”. Il monitoraggio SSL dice “il tuo sito è raggiungibile e la connessione è sicura”.
Un sito con un certificato scaduto potrebbe essere tecnicamente “attivo” da una prospettiva TCP. Il server risponde. Ma il browser blocca l’accesso. Un monitor di uptime configurato per controllare i codici di stato HTTP vedrebbe la risposta. Ma se il monitor segue i reindirizzamenti o accetta qualsiasi risposta, potrebbe non rilevare il problema del certificato.
Esegui entrambi. Monitoraggio dell’uptime per la raggiungibilità. Monitoraggio SSL per la salute dei certificati. Si completano a vicenda.
Monitoraggio della trasparenza dei certificati
Un approccio più recente al monitoraggio SSL: i log di trasparenza dei certificati (CT). Ogni CA pubblicamente affidabile deve registrare i certificati nei log CT. Puoi monitorare questi log per i nuovi certificati emessi per i tuoi domini.
Questo rileva due cose: certificati legittimi di cui non eri a conoscenza (qualcuno del tuo team ne ha acquistato uno da un’altra CA) e certificati dannosi (qualcuno che impersona il tuo dominio).
Strumenti come Cert Spotter e il Certificate Transparency Monitor di Facebook lo forniscono. È una misura avanzata, ma utile per aziende con severi requisiti di sicurezza.
Inizia ora
PingWatchdog include il monitoraggio SSL in ogni piano. Il piano gratuito copre i tuoi domini con controlli ogni 24 ore e avvisi di scadenza a 30/14/7 giorni. Nessuno strumento separato. Nessun abbonamento separato.
Configura il monitoraggio SSL o scopri tutte le funzionalità di monitoraggio. Leggi anche: Cos’è il monitoraggio dell’uptime?