Automatice y verifique la renovación del certificado TLS

Separe tres plazos diferentes

Distinguir renovación de registro de dominio, caducidad de certificado y prueba de control de dominio. Registre la autoridad, los nombres cubiertos, el punto de terminación de TLS, el propietario y el procedimiento de renovación. Un CDN, Balanceador de carga y Servidor de origen pueden utilizar diferentes certificados. La renovación de una suscripción de alojamiento no establece que cada certificado se renueve.

Para certificados TLS públicos en el alcance de la Requisitos de referencia, la validez máxima es de 200 días para la emisión desde el 15 de marzo de 2026 hasta el 14 de marzo de 2027, luego de 100 días hasta el 14 de marzo de 2029 y 47 días desde el 15 de marzo de 2029. Estos son Techos, no vidas universales. Una autoridad puede utilizar períodos más cortos.

Inspeccione el perfil en lugar de asumir una vida útil

Let’s Encrypt publica su propio horario : Perfil TLSServer a los 45 días desde el 13 de mayo de 2026; Perfil clásico programado para 64 días el 10 de febrero de 2027 y 45 días el 16 de febrero de 2028. Verifique el perfil configurado y la documentación actual antes de definir las alertas. No describa todos los certificados Let’s Encrypt ya que ya tienen vida útil de 45 días.

Elija un margen de intervención adecuado para la validez observada y el tiempo de respuesta real del equipo. Una regla basada en un antiguo certificado anual podría alertar demasiado tarde. Mantenga las fechas de inicio y finalización observadas en el inventario sin incluir secretos. la expiración o un nombre de host faltante es un defecto concreto que requiere acción.

Emisión de prueba e instalación por separado

Los Vamos a cifrar el servidor de prueba Le permite prepararse para la integración. Sus certificados no están destinados a ser reconocidos como confiables por los navegadores de visitantes. Realice esta prueba en un entorno planificado para esto, luego verifique la ruta de producción con el certificado esperado.

Incluya un caso en el que la renovación produce un nuevo archivo pero el servicio aún presenta su antiguo certificado. Compruebe desde fuera del punto de terminación después de la recarga o implementación. Con varios servidores, inspeccione los diferentes destinos. retener el nombre de host, la fecha, el certificado presentado y el resultado de la conexión; Un registro de renovación exitoso por sí solo no establece la instalación.

• Emisión probada en puesta en escena.
• Instalación y recarga verificada.
• Certificado orientado al visitante inspeccionado.

hacer que la validación sea reproducible

Los Let’s Encrypt's Acme Challenges Validar control de dominio: HTTP-01 utiliza un recurso HTTP, DNS-01 Un registro TXT. DNS-01 permite notablemente los nombres de comodines. Identifique las dependencias en DNS, enrutamiento y cliente ACME antes de un cambio de hosting.

Una redirección, una capa de protección ascendente o un cambio de DNS pueden romper un mecanismo que funciona previamente. Repita la prueba documentada después de tales cambios. Nombre el propietario y el entorno de validación sin copiar los detalles de acceso. Conserve un registro de prueba claro para el siguiente operador.

Supervise el resultado servido y prepare la recuperación

Los Guía de integración de cifrado En particular, recomienda un cliente capaz de explotar la información de renovación de ACME cuando esté disponible. Documente el mecanismo seleccionado, su versión, el último éxito y los errores. Agregue una observación independiente del certificado realmente servido.

Decide quién recibe una alerta, la ventana de respuesta y una escalada si nadie responde. La recuperación debe cubrir el diagnóstico, la instalación y la verificación posterior al arreglo. Conéctalo con el plan de incidencias y Registro de aceptación. Evite descubrir un propietario de validación no disponible en la víspera de la expiración.