Webbläsarna blockerar hela sajten, kunderna tror att du blivit hackad, och fixen tar fem minuter – när du väl märker det. Så märker du det två veckor i förväg.

Ett utgånget certifikat är det pinsammaste avbrottet som finns. Inget är egentligen trasigt – servern är uppe, databasen mår bra – och ändå möter varje besökare en helröd varning om att sajten "inte är säker". Konverteringen går till noll tills någon märker det.

"Men vi använder Let's Encrypt, det förnyas av sig självt"

Tills det inte gör det. Cron-jobbet för förnyelse slutar tyst efter en serverflytt. En brandväggsregel blockerar valideringsanropet. DNS-posten för en subdomän ändras och wildcard-certifikatet slutar validera. Certifikatet på lastbalanseraren är inte det på origin. Alla som drivit webbplatser några år har en sådan historia. Automatisering minskar risken; den tar inte bort behovet att bevaka.

Bevaka certifikatet, inte förnyelsejobbet

Den enda pålitliga signalen är den dina besökare ser: anslut till sajten över TLS och läs certifikatet som kommer tillbaka. Det fångar alla felsätt på en gång – fel certifikat utrullat, ofullständig kedja, förnyelse som aldrig skedde – oavsett vilket verktyg som skulle ha förnyat.

Varna tidigt, larma vid utgång

Ravnsights certifikatmonitor sparar utfärdare, giltighet, dagar kvar och kedjan vid varje kontroll. Inom din varningsperiod (14 dagar som standard, ställbart per monitor) får du en varning en gång per dygn – ingen incident, för inget är nere ännu. Ett utgånget eller ogiltigt certifikat är ett avbrott och går genom vanlig bekräftelse och larm.

Kontrollera själv på tio sekunder

För att se exakt vad servern lämnar ut – inte vad du tror att den lämnar ut – fråga den från kommandoraden:

openssl s_client -connect example.com:443 -servername example.com </dev/null | openssl x509 -noout -dates -issuer

Titta på tre saker: att notAfter ligger tillräckligt långt fram, att utfärdaren är den du väntar dig, och (kör första halvan för sig) att servern skickar hela kedjan, inte bara sitt eget certifikat. Ett saknat mellanliggande certifikat fungerar ofta i din webbläsare men fallerar i äldre mobiler och API-klienter – och just därför slinker det igenom manuella kontroller.

Varje värdnamn har sitt eget certifikat

www, shop, API-subdomänen och e-postservern kan ha var sitt certifikat med eget utgångsdatum, och även ett wildcard-certifikat har ett datum som måste förnyas. Ge varje värdnamn som svarar på HTTPS en egen certifikatmonitor: det räcker med ett bortglömt API-certifikat för att en app ska sluta fungera medan själva webbplatsen ser helt frisk ut.

Gör samma sak med domänen

Domäner går också ut, och följderna är värre: e-posten stannar, DNS försvinner, och en domän som hamnar i pending delete kan gå förlorad. Domänmonitorn läser utgång, registrar och status direkt från registret (RDAP) och varnar 30 dagar i förväg. Den ingår i alla planer, även Free – för ingen ska förlora en domän på grund av en bortglömd faktura.