Monitor de certificado SSL

O monitor de certificado SSL se conecta ao seu servidor, lê o certificado que ele apresenta e confere a validade. Ele avisa com antecedência antes do vencimento e abre incidente se o certificado estiver vencido ou inválido.

Criar o monitor#

1. Em Monitores, clique em Novo monitor e escolha Certificado SSL.
2. Preencha Nome.
3. Na seção Certificado, informe o Host: só o nome, sem https:// nem caminho, por exemplo example.com.
4. Em Porta, deixe 443 (o padrão) ou informe outra porta com TLS.
5. Em Avisar com antecedência (dias), ajuste os dias de aviso, se quiser.
6. Em Alertas, escolha para onde vão os avisos.
7. Clique em Criar monitor.

Cada dia de aviso vai de 1 a 365, com até 10 itens; use Adicionar aviso para incluir mais um.

O ritmo das checagens#

O certificado é checado a cada 12 horas. Não há campo de intervalo. A primeira checagem de um monitor novo pode levar até 12 horas; até lá ele fica pendente.

O que é lido#

Em cada checagem, o Notifex confere:

• se o certificado é confiável (emitido por uma autoridade reconhecida);
• se ele vale para o nome informado em Host;
• quantos dias faltam para o vencimento.

Em Verificações, no detalhe do monitor, a coluna Detalhes mostra os dias restantes, a data de expiração e o emissor.

Avisos de vencimento#

Com os dias de aviso padrão, o Notifex avisa quando faltarem 30, 14, 7 e 1 dia para o certificado vencer:

1. Na primeira checagem em que faltam 30 dias ou menos, abre um incidente Certificado perto de expirar e sai um alerta.
2. A cada novo limite cruzado (14, 7, 1 dia), sai mais um alerta no mesmo incidente.
3. Quando o certificado é renovado e a validade volta a passar do maior dia de aviso (30, no padrão), o incidente é resolvido e sai o alerta de resolução.

Durante os avisos, o monitor continua no ar: o certificado ainda vale. O aviso aparece também na Visão geral, em Certificados e domínios perto de expirar.

Como a checagem é a cada 12 horas, o aviso chega na primeira checagem depois de o limite ser cruzado.

Quando o certificado vence de fato, a checagem passa a falhar e, confirmada a falha, abre-se um segundo incidente, de indisponibilidade. O incidente Certificado perto de expirar continua aberto até a renovação.

Quando conta como falha#

• O certificado venceu: Certificado expirado.
• O certificado não é confiável ou não vale para o nome informado: Certificado inválido. Um certificado autoassinado cai aqui.
• A porta não responde com TLS ou o handshake falha: Erro de TLS.
• O servidor não aceita a conexão ou não responde a tempo: Conexão recusada, Tempo esgotado, Falha de DNS ou Erro de conexão.

Nesses casos o monitor segue a confirmação normal e, confirmada a falha, abre um incidente de indisponibilidade; veja Confirmação da falha.

Limitações#

• Cada monitor confere um único nome e uma única porta. Para conferir www.example.com e api.example.com, crie um monitor para cada nome.
• Endereços de rede interna e as portas 25, 465 e 587 não são aceitos.
• Para saber se o site responde, e não só se o certificado vale, use também um monitor HTTP.