Das Zertifikat läuft am Samstag ab: Wer sagt es dir rechtzeitig?
Kurz gesagt
Ein Zertifikat trägt sein Ablaufdatum aufgedruckt, und damit ist es der am leichtesten vermeidbare Ausfall überhaupt und zugleich der peinlichste. Die automatische Erneuerung deckt die öffentliche Website ab und fast nichts sonst: Das Zahlterminal, die Weboberfläche des Rekorders, der Mailserver und die Appliance im Rack haben jeweils ihr eigenes Zertifikat, und niemand zählt deren Tage.
Fast jeder Ausfall kommt ohne Vorwarnung. Dieser kommt mit einem aufgedruckten Datum, sichtbar für jeden, der hinschaut, sechzig Tage im Voraus. Und er passiert trotzdem, jedes Jahr, in Betrieben, die ansonsten gut geführt sind.
Warum laufen Zertifikate immer noch ab, ohne dass es jemand merkt?
Weil das, was automatisiert ist, nicht das ist, was abläuft.
Die automatische Erneuerung hat sich vor Jahren um die öffentliche Website gekümmert, und mit ihr kam das Gefühl, das Problem sei gelöst. Inzwischen haben sich Zertifikate an Orte vermehrt, die keine Automatik erreicht: das Zahlterminal im Laden, die Weboberfläche des Videorekorders, der Mailserver, die VPN-Appliance, das interne Dashboard, die Maschine, die mit der Schnittstelle eines Lieferanten spricht. Jedes davon zeigt ein Zertifikat vor. Keines davon steht im Erneuerungsskript.
Der zweite Grund ist ärgerlicher: eine Erneuerung, die funktioniert und nichts ändert. Das neue Zertifikat wird auf die Festplatte geschrieben, der Auftrag meldet Erfolg, und der Dienst liefert weiter das alte aus, weil ihm niemand gesagt hat, dass er neu laden soll. Von aussen — und das ist die einzige Seite, auf der deine Kunden stehen — ist das nicht davon zu unterscheiden, dass nie erneuert wurde.
Der dritte ist der leise: ein Gerät, das sein abgelaufenes Zertifikat erst beim Neustart preisgibt. Es lief elf Monate ohne Neustart. Dann fällt an einem Freitagabend der Strom aus, und am Samstagmorgen kommt es nicht mehr hoch.
Wie viel Vorwarnung brauchst du wirklich?
Sechzig Tage zum Planen, zwei Wochen für die lautere Erinnerung, die letzten Tage für eine echte Unterbrechung — und gezählt werden die verbleibenden Tage des Zertifikats so, wie es tatsächlich ausgeliefert wird, nicht so, wie es in einer Datei steht. Allein dieser Unterschied fängt den Fall «erneuert, aber nicht neu geladen» ab, und der ist in der Praxis der häufigste.
Dann eskaliere bewusst. Zwei Monate vorher reicht eine Notiz. Bei zwei Wochen sollte sie einen Kanal erreichen, den die Leute tagsüber wirklich lesen. In den letzten Tagen sollte sie jemanden unterbrechen — ein Zertifikat, das am Samstagmorgen abläuft, war schon am Mittwoch zu sehen. Und sobald das Datum überschritten ist, soll sie jeden Tag wiederkommen, ohne Gnade, denn sie ist keine Warnung mehr: Sie ist ein Ausfall, der gerade läuft.
Behalte daneben die Domain im Blick. Ihr Ablaufdatum, ihren Registrar, ihre Nameserver. Diese Angaben werden von der Registrierungsstelle selbst veröffentlicht, es gibt also keine Entschuldigung dafür, sie nicht zu kennen — und eine unerwartete Änderung darin ist entweder ein Versehen oder die Arbeit von jemand anderem, und beides ist einen Anruf wert.
Weisst du, wie viele Zertifikate du hast?
Die meisten können die Frage nicht beantworten, und die eigentliche Schwierigkeit ist nicht das Zählen. Sie liegt darin, zu wissen, was es überhaupt gibt.
Die meisten Betriebe können ihre eigenen Zertifikate nicht aufzählen. Die Website, ja. Das Terminal im Laden, wahrscheinlich nicht. Die Oberfläche des Rekorders, fast sicher nicht. Die Subdomain, die jemand 2023 für eine Kampagne veröffentlicht hat, nein. Du kannst keine Tage für etwas herunterzählen, von dem du vergessen hast, dass du es hast, und daher kommen die teuren Samstage — nie von dem Zertifikat, an das sich alle erinnern.
Fang also mit der Liste an. Nimm die Domains, die dir gehören, und finde heraus, was darunter veröffentlicht ist; ergänze die Geräte, die eine Weboberfläche vorzeigen, auch wenn nur du sie benutzt; und dann zähl. Die Liste selbst ist meistens schon der Befund.
Was du diese Woche tun kannst
- Schreib jede Adresse auf, die ein Zertifikat vorzeigt, auch die, die nur die Mitarbeitenden benutzen. Rechne damit, dass die Liste länger wird, als du dachtest.
- Setz jede einzelne davon auf einen Countdown, gemessen an dem, was ausgeliefert wird, nicht an einer Datei.
- Leg die Eskalation jetzt fest: eine Nachricht Wochen vorher, eine lautere bei zwei Wochen, eine echte Unterbrechung in den letzten Tagen und eine tägliche Erinnerung, sobald es abgelaufen ist.
- Nimm das Ablaufdatum der Domain dazu und schau bei der Gelegenheit nach, wer der Registrar ist und welche Nameserver eingetragen sind.
- Überprüf bei jedem Zertifikat, das sich automatisch erneuert, einmal, ob der Dienst wirklich neu lädt. Dieser Test von fünf Minuten macht den ganzen Unterschied.
Von einem Zertifikat überrascht zu werden, gibt es nicht. Es gibt nur: nicht gezählt zu haben.
Was wir dir nicht sagen können
- Wir können kein Zertifikat auf etwas sehen, das wir nicht beobachten: Wir lesen, was ein Dienst auf seinem Port vorzeigt, also bleibt ein Gerät, von dem du uns nichts gesagt hast, unsichtbar — egal, was darin gerade abläuft.
- Wir können kein Zertifikat für dich erneuern, und wir können den Dienst nicht neu starten, der nach einer erfolgreichen Erneuerung immer noch das alte ausliefert.
- Wir können kein Zertifikat sehen, das nie über das Netzwerk vorgezeigt wird — eines, das in einer Konfigurationsdatei, einem Keystore oder einer Signaturkette liegt, ohne dass etwas es ausliefert.
Fragen, die wirklich gestellt werden
Wir haben eine automatische Erneuerung. Ist das nicht erledigt?
Erledigt ist es für das, was in der Automatik steckt, und das ist meistens die öffentliche Website und sonst nichts. Das Zahlterminal, die Weboberfläche des Rekorders, der Mailserver, die Appliance im Rack und das interne Werkzeug, das jemand 2021 aufgesetzt hat, haben jeweils ihr eigenes Zertifikat, von Hand erneuert oder gar nicht. Genau die laufen an einem Samstag ab.
Die Erneuerung lief erfolgreich und die Website zeigt trotzdem ein abgelaufenes Zertifikat. Wie geht das?
Weil Erneuern und Ausliefern zwei Schritte sind. Das neue Zertifikat liegt auf der Festplatte und der Dienst hält immer noch das alte im Speicher, weil nichts es neu geladen hat. Das ist eine der häufigsten Varianten dieses Fehlers, und von aussen sieht sie genauso aus, als wäre nie erneuert worden — genau deshalb muss die Prüfung von aussen erfolgen, gegen das, was tatsächlich ausgeliefert wird.
Wie viel Vorwarnung ist sinnvoll?
Genug, um zu handeln, danach zunehmender Druck. Ab sechzig Tagen herunterzuzählen gibt dir Zeit zum Planen; eine Erinnerung bei zwei Wochen erreicht einen anderen Kanal; in den letzten Tagen darf sie jemanden unterbrechen. Und sobald das Datum überschritten ist, soll die Warnung jeden einzelnen Tag wiederkommen, denn ein abgelaufenes Zertifikat ist keine Benachrichtigung, es ist ein laufender Ausfall.
Und die Domain selbst?
Dieselbe Art von Ausfall, nur mit grösserer Reichweite: Eine abgelaufene Domain nimmt die Website, die Post und alles mit, was daran hängt, und sie zurückzuholen ist nicht immer schnell oder günstig. Behalte den Eintrag der Registrierungsstelle im Blick — Ablaufdatum, Registrar und Nameserver — und behandle jede unerwartete Änderung dort als ernstes Ereignis, denn sie ist entweder ein Fehler oder die Arbeit von jemand anderem.
Ist ein abgelaufenes Zertifikat ein Ausfall oder eine Warnung?
Für deine Besucher ist es ein vollständiger Ausfall: Browser verweigern, Terminals verweigern, Schnittstellen verweigern. Intern verdient es eine eigene Farbe — der Dienst antwortet, aber niemand kann ihn benutzen. Es bloss als beeinträchtigt zu behandeln, ist der Grund, warum es ein Wochenende überlebt.