Моніторинг і обслуговування
Керування сертифікатами SSL
Прострочені сертифікати донедавна з підбадьорливою регулярністю валили оплату, API та довіру клієнтів — з проблеми, яку автоматизація розв'язала роки тому. Керований SSL означає автоматичне оновлення всюди, зовнішній контроль термінів як підстраховку, правильні ланцюги та сучасну конфігурацію TLS.
Головне
- Автоматизуйте оновлення через ACME (Let's Encrypt) на кожному підходящому хості.
- Контролюйте всі строки ззовні зі сповіщеннями за 30, 14 і 7 днів.
- Правильно розгортайте повні ланцюги; неповні ланцюги ламають мобільні клієнти.
- Вимикайте спадковий TLS (1.0/1.1) та слабкі шифри за планом.
- Увімкніть HSTS після перевірки, що HTTPS скрізь працює.
- Стежте за журналами прозорості сертифікатів щодо неавторизованого випуску.
- Розумно і навмисно використовуйте wildcard чи багатодоменні сертифікати, а не випадково.
- Документуйте, хто зберігає приватні ключі та хто відповідає за оновлення на кожен домен.
Часті запитання
Чи можна довіряти безкоштовним сертифікатам?
Так, шифрування таке саме; платні додають рівні гарантій і валідації, якими більшість сайтів не користується.
Чому впало автооновлення?
Зазвичай DNS/HTTP валідація заблокована брандмауером або переадресаціями; журнали ставлять діагноз за хвилини.
Як запобігти простроченню сертифікатів?
Автоматизація плюс незалежний контроль: дві системи мають зламатися обидві, щоб пропуск прокрався.
Яку версію TLS нам використовувати?
TLS 1.2 як мінімум, 1.3 — бажано, з вимкненими спадковими версіями після перевірок сумісності.
Допомога Kinetikatech: моніторинг і обслуговування
Вам не обов'язково ставати експертом із моніторинг і обслуговування: 24/7 моніторинг серверів та сайтів, керування журналами, латання та життя SSL — операції, що запобігають аваріям. Саме для цього й існує служба Моніторинг 24/7 та Обслуговування сайтів: налаштування, посилення захисту, моніторинг і жива людина на зв'язку цілодобово.