Návštěvník otevře váš web a místo stránky uvidí červené varování: „Připojení není soukromé“. Většina lidí neklikne na „Pokračovat“, ale odejde. Nejčastější příčina je banální: vypršel SSL/TLS certifikát.

Problém potkává i velké firmy. Obvykle za ním není útok, ale zapomenuté obnovení nebo selhání automatizace.

Co certifikát dělá

SSL/TLS certifikát zajišťuje dvě věci:

1. Šifrování komunikace mezi prohlížečem a serverem (HTTPS).
2. Ověření identity webu. Prohlížeč má jistotu, že se připojuje na skutečnou doménu, ne na podvržený server.

Každý certifikát má omezenou platnost. Po jejím uplynutí mu prohlížeče přestanou důvěřovat.

Platnost certifikátů se zkracuje

Maximální doba platnosti veřejných certifikátů se podle rozhodnutí CA/Browser Fóra postupně snižuje. Podle dostupných informací platí tento harmonogram:

Poznámka: Přesné termíny a podmínky si před plánováním ověřte u své certifikační autority. Pro řadu webů je důležité hlavně to, že ruční obnova jednou za rok přestane stačit.

Kratší platnost zvyšuje bezpečnost, ale zároveň zvyšuje riziko, že se obnova zapomene. Řešením je automatizace.

Nejčastější příčiny prošlého certifikátu

1. Ruční obnova bez připomínky. Certifikát kupoval kolega, který už ve firmě nepracuje, a upozornění chodí na starou e-mailovou adresu.
2. Selhání automatické obnovy. Nástroj jako Certbot nebo hostingová automatika přestane fungovat po změně serveru, DNS nebo firewallu.
3. Zapomenuté subdomény. Hlavní doména je v pořádku, ale shop., app. nebo staging. mají certifikát prošlý.
4. Chybějící mezilehlý certifikát. Server nenabízí kompletní řetězec a některá zařízení certifikátu nevěří.
5. Certifikát nasazen na jednom serveru, ale ne na dalších. Typické u load balanceru nebo více instancí.
6. Změna DNS nebo hostingu. Po přesunu webu se nový server obnovuje jinak než původní.

Co hrozí při expiraci

• Prohlížeče zobrazí varování a většina návštěvníků web opustí.
• E-shop přichází o objednávky a platební brány mohou přestat fungovat.
• API a integrace třetích stran začnou vracet chyby.
• E-mailové služby, které používají TLS, mohou odmítat spojení.
• Snižuje se důvěra ve značku, i když je problém odstraněn během hodin.

Jak výpadku předejít

1. Automatizujte obnovu

Pokud to hosting umožňuje, použijte automatickou obnovu, například přes ACME (Let's Encrypt a další). Automatizace ale také potřebuje kontrolu.

2. Monitorujte datum vypršení

Nastavte upozornění alespoň 30, 14 a 7 dnů před vypršením. Upozornění posílejte na sdílenou schránku nebo týmový kanál, ne na jednu osobu.

3. Vedte přehled všech domén a subdomén

Sepište si, kde a kdo má certifikát na starosti. Včetně testovacích prostředí a zapomenutých subdomén.

4. Zkontrolujte kompletní řetězec

Certifikát musí být nasazen včetně všech mezilehlých certifikátů, jinak se může na části zařízení zobrazovat jako nedůvěryhodný.

5. Doplňte HTTPS o bezpečnostní hlavičky

Platný certifikát je základ, ne kompletní zabezpečení. Hlavička HSTS zajistí, že prohlížeč bude s doménou komunikovat jen přes HTTPS.

6. Otestujte obnovu předem

Ověřte, že obnova opravdu proběhne, než je certifikát těsně před expirací. Po každé změně serveru, DNS nebo hostingu zkontrolujte, zda automatika stále funguje.

Checklist

1. Máte seznam všech domén a subdomén s certifikáty?
2. Je u každé známo datum vypršení a způsob obnovy?
3. Chodí upozornění více lidem nebo na sdílenou adresu?
4. Funguje automatická obnova, a kdy jste ji naposledy ověřovali?
5. Je nasazen kompletní řetězec certifikátů?
6. Používáte HSTS a další bezpečnostní hlavičky?
7. Počítáte s tím, že se platnost certifikátů dále zkracuje?

Zkontrolujte certifikát svého webu

Prošlý certifikát často zjistíte až od zákazníka. Pinsero Guard prověří zabezpečení domény, platnost SSL/TLS certifikátu a bezpečnostní hlavičky a upozorní na problémy dřív, než je uvidí návštěvníci.

Spusťte kontrolu a zjistěte, kolik dnů vám zbývá do příští expirace.