O certificado expira no sábado: quem te avisa a tempo?
Em resumo
Um certificado tem uma data de validade impressa, o que faz dele a paragem mais evitável e a mais embaraçosa de ter. A renovação automática cobre o site público e quase mais nada: o terminal de pagamento e a interface do gravador têm cada um o seu, e ninguém lhes anda a contar os dias.
Quase todas as paragens chegam sem aviso. Esta chega com uma data impressa, visível para quem olhar, sessenta dias antes. E continua a acontecer, todos os anos, a organizações que de resto são bem geridas.
Porque é que os certificados continuam a expirar sem ninguém dar por isso?
Porque aquilo que está automatizado não é aquilo que expira.
A renovação automática tratou do site público há anos e, com ela, veio a sensação de que o problema estava resolvido. Entretanto os certificados multiplicaram-se por sítios onde nenhuma automatização chega: o terminal de pagamento da loja, a interface web do gravador de vídeo, o servidor de correio, a appliance de VPN, o painel interno, a máquina que fala com a API de um fornecedor. Cada um deles apresenta um certificado. Nenhum deles está no guião de renovação.
A segunda razão é mais irritante: uma renovação que funciona e não muda nada. O certificado novo é escrito no disco, a tarefa comunica sucesso, e o serviço continua a servir o antigo porque ninguém lhe disse para recarregar. De fora — que é o único lado onde os teus clientes estão — isso não se distingue de nunca ter havido renovação.
A terceira é a silenciosa: um equipamento que só revela o certificado expirado quando reinicia. Esteve onze meses sem arrancar de novo. Depois há um corte de energia numa sexta-feira à noite e, no sábado de manhã, recusa-se a subir.
De quantos dias de aviso precisas, mesmo?
Sessenta dias para planear, duas semanas para insistir, os últimos dias para interromper alguém, e todos os dias depois de a data passar.
Conta os dias que faltam no certificado tal como está mesmo a ser servido, não como existe num ficheiro. Só essa distinção apanha o caso do renovado-mas-não-recarregado, que é o mais comum na prática.
Depois vai subindo o tom de propósito. A dois meses, uma nota chega. Às duas semanas, deve chegar a um canal que as pessoas leiam mesmo durante o dia. Nos últimos dias, deve interromper alguém — um certificado que expira num sábado de manhã já estava à vista na quarta-feira. E depois de a data passar, deve voltar todos os dias, sem piedade, porque já não é um aviso: é uma paragem a decorrer.
Ao lado disso, vigia o domínio. A sua expiração, o seu registrar, os seus servidores de nomes. Essa informação é publicada pela própria entidade de registo, por isso não há desculpa para não a saber — e uma mudança inesperada nela ou é um engano ou é obra de outra pessoa, e ambas valem uma chamada telefónica.
Sabes quantos certificados tens?
Quase ninguém sabe, e a dificuldade verdadeira não é a contagem: é saber o que existe.
A maioria das organizações não consegue listar os seus próprios certificados. O site, sim. O terminal da loja, provavelmente não. A interface do gravador, quase de certeza que não. O subdomínio que alguém publicou para uma campanha em 2023, não. Não consegues contar os dias de uma coisa de que te esqueceste que tens, e é daqui que vêm os sábados caros — nunca do certificado de que toda a gente se lembra.
Por isso começa pela lista. Pega nos domínios que controlas e descobre o que está publicado debaixo deles, junta os equipamentos que apresentam uma interface web mesmo que só tu a uses, e depois conta. A lista, por si só, costuma ser a descoberta.
O que fazer esta semana
- Escreve todos os endereços que apresentam um certificado, incluindo os que só os funcionários usam. Conta com uma lista mais comprida do que pensavas.
- Põe cada um deles numa contagem decrescente, medida contra o que é servido e não contra um ficheiro.
- Define já a escalada: uma mensagem semanas antes, uma mais alta às duas semanas, uma interrupção a sério nos últimos dias, e um lembrete diário depois de expirado.
- Acrescenta a data de expiração do próprio domínio e, já que lá estás, verifica quem é o registrar e quais são os servidores de nomes.
- Para cada certificado que se renova automaticamente, verifica uma vez que o serviço recarrega mesmo. Esse teste de cinco minutos é toda a diferença.
Não existe ser-se apanhado de surpresa por um certificado. Existe apenas não se ter contado.
O que não te podemos dizer
- Não conseguimos ver um certificado numa coisa que não estamos a vigiar: lemos o que um serviço apresenta na sua porta, por isso um equipamento de que não nos falaste fica invisível, esteja o que estiver prestes a expirar lá dentro.
- Não podemos renovar um certificado por ti, e não podemos reiniciar o serviço que continua a servir o antigo depois de uma renovação bem sucedida.
- Não conseguimos ver um certificado que nunca é apresentado pela rede — um que esteja num ficheiro de configuração, numa keystore ou numa cadeia de assinatura que nada serve.
As perguntas que se fazem mesmo
Temos renovação automática. Não está resolvido?
Está resolvido para o que estiver dentro da automatização, que normalmente é o site público e mais nada. O terminal de pagamento, a interface web do gravador, o servidor de correio, a appliance no bastidor e a ferramenta interna que alguém montou em 2021 têm cada um o seu certificado, renovado à mão ou nunca. São esses que expiram num sábado.
A renovação correu bem e o site continua a mostrar um certificado expirado. Como?
Porque renovar e servir são dois passos. O certificado novo está no disco e o serviço continua a segurar o antigo em memória, porque nada o recarregou. É uma das versões mais comuns desta avaria e, vista de fora, é idêntica a não ter havido renovação nenhuma — e é exatamente por isso que a verificação tem de ser feita de fora, contra o que está mesmo a ser servido.
Quanto aviso é que é útil?
O suficiente para agir, e depois com pressão crescente. Uma contagem decrescente a partir de sessenta dias dá-te tempo para planear; um lembrete às duas semanas chega por outro canal; nos últimos dias merece interromper alguém. E depois de a data passar, o aviso deve voltar todos os dias, porque um certificado expirado não é uma notificação, é uma paragem a acontecer.
E o próprio domínio?
A mesma forma de avaria com um raio de destruição maior: um domínio expirado leva abaixo o site, o correio e tudo o que deles dependa, e recuperá-lo nem sempre é rápido nem barato. Vigia, no registo oficial do domínio, a data de expiração, o registrar e os servidores de nomes — e trata qualquer mudança inesperada aí como um acontecimento sério, porque ou é um erro ou é trabalho de outra pessoa.
Um certificado expirado é uma paragem ou um aviso?
Para os teus visitantes é uma paragem total: os navegadores recusam, os terminais recusam, as integrações recusam. Internamente merece uma cor só dele — o serviço está a responder, mas ninguém o consegue usar. Tratá-lo como mera degradação é a maneira de ele sobreviver a um fim de semana inteiro.