Dwie daty, które kładą cały serwis: ważność certyfikatu i domeny

Dlaczego automatyczne odnawianie wciąż zawodzi, co się zmienia, gdy ważność certyfikatów spada do 47 dni, jak naprawdę traci się domenę i jakie kontrole wyłapią jedno i drugie na czas.

Infrastruktura · Opublikowano: 23 września 2026 · 5 min czytania · Дмитрий Орлов

Większość awarii jest częściowa: jedna strona wolno się ładuje, jeden formularz nie działa. Dwa zdarzenia są totalne. Gdy wygaśnie certyfikat TLS, każda przeglądarka pokazuje pełnoekranowe ostrzeżenie. Gdy wygaśnie rejestracja domeny, nazwa w ogóle przestaje się rozwiązywać. Oba terminy znane są z wielomiesięcznym wyprzedzeniem — i oba wciąż zaskakują zespoły.

„Przecież mamy automatyczne odnawianie"

Klienci ACME, tacy jak certbot, sami odnawiają certyfikaty Let's Encrypt — i właśnie dlatego nikt ich nie pilnuje. Rzadko psuje się sam klient:

• Zmienił się DNS. Domena przeniosła się na nowy hosting lub CDN, a wyzwanie HTTP-01 trafia teraz na serwer, który nic o nim nie wie.
• Firewall blokuje port 80. Ktoś zamknął czysty HTTP „dla bezpieczeństwa", a HTTP-01 bez niego nie działa.
• Przekierowanie na /.well-known/acme-challenge/. Ogólna reguła wysyła żądanie na stronę główną albo do logowania i walidacja pada.
• Cron zginął razem ze starym serwerem. Serwis zmigrowano, timer odnawiania już nie.
• Odnowiony na dysku, ale niezaładowany. certbot zapisał nowy plik, nginx nie dostał reloadu i dalej serwuje stary certyfikat z pamięci.
• Druga kopia gdzie indziej. CDN albo load balancer terminuje TLS własnym certyfikatem, wgranym ręcznie dwa lata temu.

Okres ważności się skraca

Uchwała CA/Browser Forum SC-081 stopniowo obcina maksymalną ważność certyfikatu: 200 dni od marca 2026, 100 dni od marca 2027, 47 dni od marca 2029. Ręczne odnawianie raz w roku już odpada, a w 2029 oznaczałoby ręczną wymianę mniej więcej co miesiąc. Automatyzacja przestała być opcją — więc prawdziwą pracą jest teraz pilnowanie samej automatyzacji.

Poprawna data to za mało

Dwa problemy przechodzą kontrolę daty, a i tak psują klientów. Brak certyfikatu pośredniego: przeglądarki desktopowe często dociągają go same, ale Android, curl i klienci API padają. Oraz słaby podpis: wszystko podpisane SHA-1 jest odrzucane od razu; szukajcie sha256WithRSAEncryption albo odpowiednika ECDSA.

Jak naprawdę traci się domenę

Domeny rzadko wygasają z samego zapomnienia. Zwykle u rejestratora podpięta jest przeterminowana karta, a powiadomienia o odnowieniu trafiają na skrzynkę pracownika, który odszedł w 2021 roku.

Dalej wszystko zależy od TLD i rejestratora, ale typowa sekwencja wygląda tak: data wygaśnięcia mija; rejestrator może ustawić clientHold i domena znika z DNS; trwa okres karencji automatycznego odnowienia, często do 45 dni, gdy odnowienie jest jeszcze tanie; potem redemption, około 30 dni, gdy przywrócenie kosztuje dodatkową opłatę; potem pendingDelete, około pięciu dni, gdy nie da się już nic zrobić. Następnie nazwa jest zwalniana, a serwisy drop-catchingu rejestrują wartościowe domeny w kilka sekund.

Do tego samego przeglądu należą jeszcze dwie rzeczy. Blokada transferu (clientTransferProhibited) powinna być włączona, żeby domeny nie dało się po cichu przenieść. A serwery nazw powinny być co najmniej dwa, najlepiej w różnych sieciach lub u różnych dostawców.

Sprawdźcie sami

Co serwer faktycznie prezentuje:

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -enddate -issuer

Flaga -servername ma znaczenie: bez SNI możecie dostać certyfikat domyślny zamiast tego dla waszego hosta. Dla domeny jest RDAP — ustrukturyzowany następca WHOIS:

curl -s https://rdap.org/domain/example.com

Patrzcie na zdarzenie expiration, rejestratora i listę status.

Monitoring, który działa

• Alerty na 30, 14 i 7 dni. Jedno powiadomienie łatwo przeoczyć, trzy coraz pilniejsze — nie.
• Sprawdzajcie z zewnątrz. Testujcie to, co dostaje przeglądarka, a nie plik na dysku. To wyłapie brakujący reload, kopię na CDN i niepełny łańcuch.
• Sprawdzajcie każdą nazwę hosta. www, api, mail i domena główna często mają różne certyfikaty z różnych miejsc.

Raport SiteScan pokazuje, ile dni zostało certyfikatowi, kto go wystawił i jakim algorytmem jest podpisany, ile dni zostało domenie, kto jest rejestratorem, jakie statusy ustawiono w rejestrze i czy blokada transferu jest włączona. Obserwowanie serwisu sprawdza to wszystko ponownie według harmonogramu, więc przypomnienie przychodzi, gdy odnowienie jest jeszcze rutyną.

Check-lista

1. Certyfikat na każdej nazwie hosta ma ponad 30 dni ważności.
2. Serwowany jest pełny łańcuch; podpis SHA-256 lub lepszy.
3. Odnawianie jest zautomatyzowane, przeładowanie po nim również.
4. Ścieżka wyzwania ACME jest dostępna na porcie 80 bez przekierowań.
5. U rejestratora jest ważna karta i wspólny, aktualny adres e-mail.
6. Automatyczne odnowienie domeny i blokada transferu są włączone.
7. Serwery nazw są co najmniej dwa.
8. Alerty odpalają na 30, 14 i 7 dni.