Uptimely
Все материалы

SSL

Как контролировать SSL-сертификат после автопродления

Проверяем сертификат снаружи: даты, hostname и цепочка. Разбираем, почему обновление файла не гарантирует обновление сервера.

Команда Uptimely

Успешный запуск автоматического продления сертификата не доказывает, что сервер уже отдаёт обновлённый сертификат. Файл мог измениться на диске, пока reverse proxy продолжает использовать старый. Внешний SSL-мониторинг проверяет то, что получает подключающийся клиент.

Проверяйте публичное имя

Выберите hostname, по которому обращаются пользователи. При нескольких виртуальных хостах SNI влияет на выдаваемый сертификат. Подключение к одному IP без нужного имени может показать сертификат другого сайта.

Команда для просмотра дат и владельца сертификата:

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -dates -subject -issuer

Подставьте свой hostname. Это ручной просмотр сертификата, а не полная проверка доверия: вывод notAfter с будущей датой сам по себе не подтверждает правильное имя или доверенную цепочку. Команда скрывает диагностический stderr ради краткости; при разборе ошибки запустите s_client отдельно и изучите весь вывод.

Поведение проверки сертификатов описано в документации OpenSSL s_client . Не используйте отключение проверки TLS как исправление проблемы сертификата.

Разделите три условия

УсловиеЧто может нарушиться
ДатыСертификат истёк или ещё не начал действовать
ИмяСертификат выдан для другого hostname
Цепочка доверияСервер не передал нужную цепочку или клиент ей не доверяет

Даже корректный сертификат не доказывает, что API возвращает ожидаемый ответ. Для этого добавьте HTTP-монитор. Срок регистрации домена тоже отдельный вопрос.

Настройте регулярный контроль

  1. Создайте SSL-монитор на PRO.
  2. Укажите HTTPS URL или hostname, которым пользуются клиенты.
  3. Изучите первый результат: срок, имя и цепочку.
  4. Настройте уведомления; после обновления дождитесь нового результата с актуальным сертификатом.

Для ручной диагностики используйте SSL Checker. Его подробный отчёт и результат регулярного монитора имеют разный состав. Не переносите все замечания разового инструмента на обещания постоянной проверки.

Если после продления ничего не изменилось

Проверьте, что обновлён нужный файл и нужный виртуальный хост. Затем проверьте загрузку конфигурации сервером и сертификат на внешнем TLS termination. Конкретные команды перезагрузки зависят от вашей инфраструктуры; монитор сертификаты не устанавливает и сервер не перенастраивает.

Для проверки отказа используйте изолированный тестовый TLS-сервис, не заменяя рабочий сертификат на просроченный. Секретный ключ не нужен для ручной проверки публичного сертификата и не должен попадать в диагностику.

Настройки описаны в инструкции SSL-монитора. Для другого срока — регистрации имени — смотрите мониторинг домена.