Platný TLS certifikát umožní prohlížeči ověřit identitu webu a navázat šifrované HTTPS spojení. Certifikát má omezenou platnost. Hosting ho může obnovovat automaticky, ale obnova certifikátu a jeho správné nasazení na konkrétní doménu jsou dvě různé věci. Proto se vyplatí kontrolovat datum platnosti i skutečnou odpověď webu zvenčí.
Co přesně má automatická obnova zajistit
Automatizace obvykle provede tři kroky: ověří kontrolu nad doménou, získá nový certifikát a nastaví jej pro webový server nebo reverzní proxy. Selhat může kterýkoli z nich. Doména například nemusí směřovat na správný server, ověřovací soubor může blokovat pravidlo přesměrování nebo nová konfigurace nemusí projít načtením.
U webhostingu zjistěte, zda poskytovatel obnovu opravdu spravuje, pro jaké domény a zda zahrnuje i variantu s www. Při výběru služby je stejně důležitá jasná správa domén, DNS a certifikátů jako samotné zapnutí HTTPS; příkladem je webhosting se správou domén od GIGASERVERu.
Kontrola platnosti v prohlížeči nestačí
Prohlížeč obvykle po kliknutí na ikonu zámku ukáže vydavatele certifikátu, domény v certifikátu a datum platnosti. Kontrolu proveďte pro hlavní adresu i pro variantu s www, pokud ji používáte. Ověřte také adresy, na kterých běží přihlášení, e-shop nebo administrační rozhraní.
Praktický je i příkaz openssl s_client -connect example.cz:443 -servername example.cz, který ověří certifikát předaný konkrétní doméně přes SNI. V produkci však nedávejte výsledek této kontroly jen do interního dokumentu: nastavte monitoring, který hlásí blížící se expiraci a chybu HTTPS zvenčí.
Ověřte obnovu před datem expirace
Nenechávejte první ověření na poslední den. Nastavte upozornění s dostatečným předstihem a při oznámení zkontrolujte datum, název domény a řetězec certifikátů. Pokud používáte automatizaci ACME, zkontrolujte log posledního pokusu o obnovu a ověřte, že plánovaná úloha skutečně běží.
Let’s Encrypt uvádí, že klienti by měli pokusy o obnovu provádět pravidelně a s předstihem; postup závisí na používaném ACME klientovi. Dokumentace k správě obnovy Let’s Encrypt pomůže rozlišit běžnou obnovu od problému s ověřením domény.
Časté příčiny neúspěšné obnovy
- DNS záznam domény už neukazuje na server, který žádá o certifikát.
- Webový server blokuje ověřovací cestu nebo přesměruje požadavek chybně.
- Certifikát se obnovil, ale služba nebyla načtena či restartována.
- Doména je za CDN nebo proxy a ověřovací metoda neodpovídá jejímu nastavení.
- V certifikátu chybí používaná subdoména, například
www.
Postup při upozornění na expirační datum
- Zjistěte, které domény a služby certifikát skutečně pokrývá.
- Ověřte platnost certifikátu zvenčí přes HTTPS pro každou důležitou adresu.
- Zkontrolujte DNS a poslední záznamy o obnově v administraci hostingu nebo v logu klienta.
- Po opravě ověřte, že server vrací nový certifikát, ne pouze soubor uložený na disku.
- Zapište příčinu a přidejte monitoring, aby se stejný problém zachytil dříve.
Nezapomeňte na e-mail a interní služby
TLS certifikáty se netýkají jen webu. Používají je také poštovní servery, VPN, API a interní administrace. U e-mailu ověřte název serveru, který uživatelé nastavují v klientovi, a po výměně certifikátu vyzkoušejte SMTP i IMAP. Pokud během změny přesouváte web nebo poštu, navazuje na to i správné plánování DNS změn a TTL.
Praktické shrnutí
Automatická obnova SSL certifikátu je užitečná, ale potřebuje dohled. Sledujte datum platnosti, ověřujte certifikát na živém webu a řešte upozornění s předstihem. Nejlepší kontrola je taková, která potvrzuje celý řetězec: doména, nový certifikát, konfigurace serveru a funkční HTTPS pro návštěvníka.