TLS защищает соединение с сайтом от пассивного чтения и подмены при корректной проверке сертификата. В повседневной эксплуатации важен не только первоначальный выпуск, но и бесперебойное продление.
Три вещи, которые нужно проверить
Первое — домен должен вести на нужный сервер. Второе — удостоверяющий центр должен иметь возможность проверить владение доменом выбранным методом. Третье — веб-сервер должен использовать актуальный сертификат и соответствующий приватный ключ.
Для типового веб-сервиса автоматизацию выпуска часто берёт на себя Caddy или ACME-клиент. Выбирайте один механизм продления и убедитесь, что он реально выполняется без ручного участия.
Как посмотреть действующий сертификат
openssl s_client -connect example.com:443 \
-servername example.com </dev/null 2>/dev/null \
| openssl x509 -noout -subject -issuer -dates
-servername передаёт SNI: без него сервер с несколькими доменами может показать не тот сертификат. Сравните даты notBefore и notAfter, имя хоста и цепочку доверия.
Проблемы, которые часто встречаются
- DNS изменили, но старые записи ещё кэшируются.
- Для IPv6 опубликован
AAAA, хотя сервер по IPv6 недоступен. - Порт, необходимый для метода ACME, закрыт на уровне провайдера.
- Два процесса пытаются слушать один и тот же TCP 443.
- Сертификат обновился на диске, но процесс не перечитал конфигурацию.
Простое правило эксплуатации
Настройте уведомление о приближающемся окончании срока действия сертификата и проверяйте его извне. Мониторинг должен обнаруживать не только падение процесса, но и ошибки пользовательского HTTPS-подключения.