Dlaczego kiedyś potrzeba było osobnego IP
Serwer musi przedstawić certyfikat, zanim pozna adres, o który pyta przeglądarka - nazwa domeny znajduje się w zaszyfrowanej części żądania. Rozwiązaniem jest SNI: przeglądarka podaje nazwę domeny już przy nawiązywaniu połączenia, a serwer wybiera właściwy certyfikat. Wszystkie używane dziś przeglądarki i systemy obsługują SNI, więc setki domen na jednym adresie IP to norma.
Trzy typy certyfikatów i kiedy który
- pojedynczy - jedna domena, najprostszy w zarządzaniu, najczęściej wystarcza
- wielodomenowy (SAN) - kilka niepowiązanych domen w jednym certyfikacie; wygodny, ale ma wadę: błąd przy jednej domenie blokuje odnowienie wszystkich
- wildcard - wszystkie poddomeny jednego poziomu; sensowny przy dziesiątkach poddomen, wymaga potwierdzenia przez wpis DNS
Co naprawdę się psuje
Certyfikaty z automatycznym odnawianiem mają krótki okres ważności, więc odnawianie musi działać bez udziału człowieka. Najczęstsze przyczyny awarii, które usuwamy u klientów, to: domena przestała wskazywać na ten serwer, a wpis w konfiguracji został; przekierowanie z HTTP na HTTPS złapało też ścieżkę weryfikacyjną; zapora odcięła ruch przychodzący na port 80, przez który idzie potwierdzenie; albo usługa odnawiająca przestała się uruchamiać po aktualizacji i nikt tego nie zauważył.
Dlatego datę wygaśnięcia każdego certyfikatu trzymamy w monitoringu jako osobny punkt pomiarowy. Alert idzie na trzydzieści dni przed terminem, a nie w dniu wygaśnięcia.
Po odnowieniu trzeba przeładować usługi
Nowy plik certyfikatu nie działa sam z siebie. Serwer WWW, serwer poczty i każda inna usługa, która go używa, muszą zostać przeładowane. Zapomniany serwer pocztowy potrafi przez miesiące podawać certyfikat wygasły, mimo że strona działa poprawnie - i wychodzi to dopiero wtedy, gdy klientowi przestaje działać poczta na telefonie.