Как отслеживать срок действия SSL-сертификата и получать оповещение заранее
Просроченный TLS-сертификат — один из самых легко предотвратимых сбоев. Сервер работает, приложение отвечает, всё «зелёное» — но каждый посетитель упирается в полноэкранное предупреждение браузера о небезопасном соединении. Конверсия мгновенно падает до нуля, и узнаёте вы об этом обычно не от своего мониторинга, а от разозлённого клиента.
Решение скучное и надёжное: отслеживать дату окончания сертификата и оповещать себя с запасом, чтобы успеть спокойно его обновить.
Почему обычная проверка аптайма это пропускает
Простая HTTP- или ping-проверка отвечает на один вопрос: сервер отвечает? Сервер с просроченным сертификатом отвечает «да» — TCP-соединение устанавливается, TLS-рукопожатие формально проходит, и многие наивные проверки считают сайт доступным. А реальные браузеры при этом отказываются открывать страницу.
Именно из-за этого разрыва срок действия сертификата требует отдельной выделенной проверки, а не побочного эффекта обычного монитора аптайма.
Что должна проверять хорошая SSL-проверка
- Дни до окончания — главное число, по которому срабатывает оповещение.
- Валидность цепочки сертификатов — неполная или перепутанная цепочка ломает соединение у части клиентов ещё до истечения срока.
- Совпадение имени хоста — сертификат действительно выпущен для нужного домена, а не дефолтный.
- Издатель / УЦ — помогает заметить неожиданный перевыпуск.
Настройка в PingZen
В PingZen есть отдельный протокол SSL: он подключается к вашему домену, читает живой сертификат и отслеживает дату окончания при каждой проверке.
- Создайте новый монитор и выберите протокол SSL.
- Укажите домен (например,
example.com:443). - Задайте порог по сроку — разумно 14 или 30 дней запаса.
- Подключите канал оповещений (Telegram, Slack, Discord, Email или вебхук).
Дальше вы получаете предупреждение задолго до истечения срока и повторное напоминание ближе к дедлайну. Если вы уже мониторите сайт по HTTPS, добавьте SSL-монитор рядом — они отвечают на разные вопросы.
Разумный запас на обновление
Автоматические УЦ вроде Let’s Encrypt перевыпускают сертификат каждые 90 дней, и обновление должно быть автоматическим. Но автоматизация ломается тихо: останавливается cron, ломается хук, отваливается DNS-проверка. Оповещение за 30 дней превращает «обновление втихую сломалось два месяца назад» в «у меня есть три недели, чтобы починить задачу обновления». Оставьте автоматизацию — и держите монитор как страховку.
Хотите перестать узнавать о просроченных сертификатах от клиентов? Создайте бесплатный SSL-монитор — это около минуты, без карты. Полный список того, что умеет PingZen, смотрите в разделе возможности.