Hlídání SSL certifikátů, které přestalo odpočítávat dny
Zdravý devadesátidenní certifikát je vždycky těsně před expirací — přesně tak zdravý certifikát vypadá. Lapsewatch místo toho sleduje, jestli se obnova opravdu stala, a odhalí ten jeden týden v roce, kdy tvůj ACME klient tiše přestal fungovat.
Bez registrace. Skutečný výsledek za čtyři sekundy.
Jak Lapsewatch posuzuje certifikát
Každý den Lapsewatch otevře syrové TLS spojení na doménu a přečte živý certifikát — vydavatele, sériové číslo, okno platnosti — stejný handshake, jaký dělá prohlížeč.
Detekce selhání obnovy, ne odpočet
Odpočítávání dní do expirace u certifikátů měřených na týdny vyrábí neustálé falešné poplachy. Lapsewatch místo toho sleduje, kolik z platnosti certifikátu zbývá a jestli se od poslední kontroly změnilo sériové číslo — to je skutečný signál, že obnova proběhla.
ARI — přímo od vydavatele
Tam, kde to certifikační autorita podporuje (ARI, RFC 9773), se jí Lapsewatch přímo zeptá, jaké obnovovací okno pro tenhle konkrétní certifikát doporučuje. Když okno uplyne a sériové číslo se nezměnilo, není to náš odhad — je to odpověď přímo od vydavatele.
Žádný falešný poplach hned první den
Nová doména nemá historii, se kterou by se dalo srovnávat, takže Lapsewatch nikdy neoznačí certifikát za kritický z jediného pozorování — „obnova selhává“ je tvrzení o vývoji v čase, a k tomu jsou potřeba aspoň dva body.
Proč se platnost certifikátů čím dál víc zkracuje
CA/Browser Forum naplánoval pokles maximální platnosti veřejně důvěryhodných certifikátů na 200 dní od března 2026, 100 dní od března 2027 a 47 dní od března 2029. Let’s Encrypt už dnes pro některá použití vydává šestidenní certifikáty. Každý takový certifikát stráví celý svůj život viditelně „těsně před expirací“ — a přesně proto se upozornění na počet zbývajících dní stává se zkracující se platností k ničemu: hořelo by permanentně, a permanentní poplach lidi přestanou vnímat.
Otázka, na které skutečně záleží, není „kolik dní zbývá“ — je to „jede automatická obnova pořád“. To je jediná věc, kterou zkracující se platnost nemění, a jediná věc, kterou se vyplatí hlídat.
Hlídání SSL certifikátů — odpovědi
Moje certifikáty se obnovují samy přes Let’s Encrypt. Proč bych tohle potřeboval?
Protože automatická obnova je cron úloha nebo systemd časovač, který běží bez dozoru na serveru, na který se nikdo nedívá. Selže potichu, když se změní pravidlo firewallu, narazí se na rate limit nebo se rozjede konfigurace — a první signál bývá varování o certifikátu přímo v prohlížeči klienta, což je nejhorší možný způsob, jak se to dozvědět.
Jaký je rozdíl oproti obyčejné kontrole SSL?
Jednorázová kontrola ti řekne dnešní datum expirace. Lapsewatch srovnává dnešní certifikát se včerejším, sleduje sériové číslo a tam, kde je dostupné ARI, se ptá certifikační autority, jaké obnovovací okno doopravdy doporučuje. Z jednoho bodu dat tak vzniká trend.
Podporujete wildcard a multi-doménové certifikáty?
Ano — Lapsewatch přečte jakýkoli certifikát, který server pro danou doménu předloží, wildcard nebo ne, a sleduje jeho obnovovací cyklus nezávisle na doménách, které pokrývá.