Un certificado SSL caducado es una de las incidencias más fáciles de evitar
La caducidad de un certificado SSL es uno de esos problemas que difícilmente pueden considerarse imprevisibles. La fecha de caducidad se conoce con mucha antelación y, aun así, sigue siendo una causa frecuente de problemas de disponibilidad en sitios web y tiendas online.
Lo peor es que el problema suele aparecer de repente. Por la noche todo funciona correctamente y, al día siguiente, el navegador empieza a advertir a los usuarios de que la conexión con el sitio web no es segura. En el caso de una tienda online, esto puede traducirse en una pérdida real de pedidos.
Pero el certificado se renueva automáticamente
La renovación automática de certificados, por ejemplo mediante Certbot, reduce considerablemente el riesgo. Sin embargo, esto no significa que podamos olvidarnos por completo de monitorizar su validez.
El proceso de renovación puede dejar de funcionar después de cambiar la configuración del servidor, los DNS, la dirección IP o la forma en que se gestiona el dominio. Durante una migración a un nuevo servidor, también puede ocurrir que la tarea encargada de la renovación automática no se haya configurado de nuevo.
También pueden surgir problemas con certificados emitidos manualmente o con dominios que tienen una configuración poco habitual. Todo puede funcionar correctamente durante muchas semanas, por lo que un fallo en la renovación puede pasar desapercibido.
Por qué la monitorización SSL debería funcionar de forma independiente al servidor
El propio servidor puede considerar que todo está bien con el certificado. Sin embargo, eso no significa necesariamente que el usuario esté recibiendo el certificado correcto.
La monitorización externa comprueba el dominio de forma similar a como lo hace un usuario que visita el sitio web. Esto permite detectar si el certificado no es válido, está a punto de caducar o su configuración ya no corresponde con el entorno real.
¿Con cuánta antelación conviene avisar de la caducidad del certificado?
No existe un único plazo adecuado para todos los dominios. En el caso de certificados que se renuevan automáticamente, un margen de varios días o incluso un par de semanas puede ser razonable. Para certificados renovados manualmente, conviene disponer de mucho más tiempo para reaccionar.
Lo más importante es que la alerta aparezca antes de que la caducidad se convierta en un problema para los usuarios. Una notificación enviada el mismo día de la caducidad resulta prácticamente inútil si la persona responsable del servidor no está disponible en ese momento.
¿Qué conviene monitorizar además de la fecha de caducidad?
La monitorización SSL puede ser una primera capa de control, pero también conviene tener en cuenta otros elementos de la configuración HTTPS. Dependiendo del entorno, pueden ser importantes la validez de la cadena de certificados, el dominio para el que se ha emitido el certificado y la configuración del servidor.
La regla más importante es sencilla: no esperes a que el navegador muestre una advertencia para descubrir que el certificado ha caducado. Es mejor recibir un aviso con suficiente antelación, cuando todavía hay tiempo para solucionar el problema con tranquilidad.
La monitorización SSL como una sencilla capa de seguridad
A diferencia de muchos problemas de producción, la caducidad de un certificado no necesita predecirse. Basta con comprobar regularmente su validez y avisar con suficiente antelación cuando se acerca la fecha de caducidad.
Es uno de los elementos más sencillos de la monitorización y, al mismo tiempo, uno de los que puede evitar una interrupción del servicio completamente previsible.
