Ablauf-Überwachung
Zwei Ablaufdaten, zwei sehr verschiedene Morgen danach.
Fast jeder Ausfall kommt überraschend. Diese beiden nicht. Ein TLS-Zertifikat und eine Domain-Registrierung tragen beide ein Ablaufdatum, das öffentlich, maschinenlesbar und Monate oder Jahre im Voraus gesetzt ist. Die Ablauf-Überwachung liest diese Daten regelmäßig aus und meldet sich mit so viel Vorlauf, wie du willst. Ein Monitor-Typ für das Zertifikat, einer für die Registrierung. Getrennt deshalb, weil beide auf völlig unterschiedlichen Zeitskalen scheitern und völlig unterschiedliche Reaktionen verlangen.
Wie es funktioniert
Der SSL-Monitor öffnet eine TLS-Verbindung zum Host und liest das Ablaufdatum aus dem ausgelieferten Zertifikat. Der Domain-Monitor fragt die Registry per RDAP und findet über den IANA-Bootstrap den zuständigen Server für die jeweilige TLD. Die Antwort kommt also von der Registry und nicht von einem Auskunftsdienst dazwischen. Beide vergleichen die verbleibenden Tage mit einer Vorwarnzeit, die du pro Monitor zwischen 1 und 90 Tagen setzt, und beide alarmieren über dieselben Kanäle wie deine übrigen Monitore.
Deine Vorteile
- Ein Ort, der beantwortet, was als Nächstes abläuft
- Unabhängig von Registrar-Mails und Renewal-Automatisierung
- Vorwarnzeit pro Monitor, von 1 bis 90 Tagen
- Zertifikate auf beliebigen Ports, nicht nur 443
- Registry-Daten direkt per RDAP, ohne Zwischenhändler
Was du bekommst
Das exakte Ablaufdatum und die verbleibenden Tage für jedes überwachte Zertifikat und jede Domain, dazu den Alarm zur gewählten Vorwarnzeit.
Verfügbarkeit
Welche Monitor-Typen dein Plan enthält, steht auf der Preisseite, zusammen mit der Zahl der Monitore.
Ein Zertifikat kostet dich Minuten, eine Domain kostet dich den Namen
Die beiden werden ständig verwechselt, und die Verwechslung ist teuer. Ein TLS-Zertifikat lebt typischerweise 90 Tage und erneuert sich selbst. Klappt das nicht, zeigen Browser eine Warnseite, und du behebst es in Minuten, sobald du davon weißt. Eine Domain-Registrierung lebt Jahre, und läuft sie ab, beginnt eine Kette, die du nicht mehr kontrollierst: Erst wird die Auflösung abgeschaltet, dann folgt eine Redemption-Periode mit dreistelligen Wiederherstellungsgebühren, dann fällt der Name frei und ist binnen Sekunden bei einem Domain-Händler. Gleiches Wort, gleiche Art von Datum, völlig andere Konsequenz. Deshalb sind es zwei Monitor-Typen mit getrennten Vorwarnzeiten und nicht eine Checkbox, die so tut, als wäre es dasselbe Problem.
Der Monitor hängt an keinem Verteiler und an keiner Renewal-Automatisierung
Sowohl Registrare als auch Zertifizierungsstellen schicken vor dem Ablauf bereitwillig eine Mail. In der Praxis landet die in einem Verteiler, den niemand liest, im Postfach einer Person, die das Unternehmen verlassen hat, im Spam. Oder, besonders schön, an einer Adresse auf genau der Domain, die gleich nicht mehr auflöst. Die Renewal-Automatisierung hat dasselbe Problem in anderer Form: Sie funktioniert, bis ein Hook bei einer Migration verloren geht oder eine Challenge nicht mehr validiert, und sie sagt dir nicht, dass sie aufgehört hat. Überwachung von außen hängt an keiner dieser Voraussetzungen. Sie fragt Host und Registry direkt und alarmiert über Kanäle, die du selbst gewählt hast und tatsächlich liest.
DENIC beantwortet RDAP für .de, nur ohne Ablaufdatum
Bei Zertifikaten ist die Quelle der Host selbst. Überwachbar ist also alles, was per TLS erreichbar ist, auch interne und selbstsignierte Zertifikate, denn der Check liest das Ablaufdatum, ohne über die Vertrauenskette zu urteilen. Bei Domains ist die Quelle die Registry, und dort liegt die Grenze nicht bei uns. Jede generische Endung wie .com, .net, .org, .dev oder .app muss ihr Ablaufdatum per RDAP veröffentlichen, viele Länderendungen wie .fr, .uk, .nl und .pl tun es ebenfalls. Einige aber bewusst nicht, darunter .de, .at, .ch, .eu, .be, .es und .io. DENIC beantwortet RDAP-Anfragen für .de, lässt das Ablaufdatum aber aus Prinzip weg. Daran kann kein Werkzeug etwas ändern. Deshalb lehnen wir den Monitor beim Anlegen ab und nennen dir die betroffene Endung, statt dir einen zu geben, der dauerhaft rot bleibt.
Häufige Fragen
Kann ich Domain-Ablauf und SSL-Alarme zusammen überwachen?
Ja, und genau so ist es üblich: ein Domain-Ablauf-Monitor auf die Registrierung und ein SSL-Monitor auf jeden Host, der TLS terminiert. Es sind getrennte Monitore, damit jeder seine eigene Vorwarnzeit tragen kann, typischerweise Wochen beim Zertifikat und Monate bei der Domain. Sie alarmieren über dieselben Kanäle und stehen im Dashboard nebeneinander.
Wie früh wird gewarnt?
Das entscheidest du pro Monitor, zwischen 1 und 90 Tagen, voreingestellt sind 7. Bei ACME-Zertifikaten sind 14 bis 21 Tage ein guter Bereich, weil die Automatisierung normalerweise bei 30 Tagen Rest erneuert. Bei Domains lieber weiter: 60 bis 90 Tage lassen Raum, einen Registrar-Wechsel oder ein Zahlungsproblem in Ruhe zu klären.
Funktioniert das für Domains bei jedem Registrar?
Es funktioniert überall dort, wo die Registry das Ablaufdatum per RDAP veröffentlicht, und das umfasst alle generischen Endungen und viele Länderendungen, unabhängig davon, wo du gekauft hast. Nicht möglich ist es bei Endungen, die das Datum zurückhalten, darunter .de, .at, .ch, .eu, .be, .es und .io. Die werden beim Anlegen des Monitors abgelehnt, du erfährst es also sofort und nicht erst später.
Was, wenn das Zertifikat nicht auf Port 443 liegt?
Dann trägst du das Ziel als host:port ein. Mail-, LDAP- und Broker-Zertifikate sind die, die am häufigsten übersehen werden, gerade weil ihr Ablauf keine Warnseite erzeugt, sondern nur Mail, die stillschweigend nicht mehr zugestellt wird.
Brauche ich das noch, wenn ich Let's Encrypt nutze?
Eher mehr. Kurzlebige Zertifikate bedeuten, dass die Erneuerung dutzende Male im Jahr passiert, und jedes Mal kann ein Hook, eine Challenge oder ein Cronjob leise scheitern. Der Monitor ist das, was aus einer kaputten Erneuerung eine Benachrichtigung macht statt eines Ausfalls.
Wo kommen die Alarme an?
E-Mail, Slack, Discord, Telegram, PagerDuty, Opsgenie, ntfy, Gotify, Webhooks, MQTT oder Push in der Android-App. Die Kanäle werden pro Monitor gesetzt, eine Ablaufwarnung kann also an einer ruhigeren Stelle landen als ein Ausfall-Alarm um drei Uhr nachts.