Prüfen Sie Ihre Domains und Zertifikate in Masse

Warum Domains und Zertifikate ablaufen

Verlängerungshinweise gehen dorthin, wohin das Konto zeigt, und Konten zeigen auf Menschen. Der klassische Fehler ist eine Verlängerungsmail an das Postfach eines ausgeschiedenen Mitarbeiters — der Registrar hat seinen Teil getan, das Postfach nicht, und der erste „Hinweis“, den jemand sieht, ist die dunkel werdende Website. Dicht dahinter steht reiner Organisationsnebel: Der Registrar ist nicht der Host ist nicht der DNS-Anbieter, und jedes Team nimmt an, ein anderes kümmere sich um die Verlängerung. Dazu eine Auto-Verlängerungskarte, die selbst abgelaufen ist, eine Domain, die vor Jahren von einer Agentur registriert wurde, die nicht mehr antwortet, und ein Portfolio, das durch Übernahmen gewachsen ist — und Ablauf sieht nicht mehr wie Nachlässigkeit aus. Es ist das Standardergebnis eines Datums, das niemandem gehört.

Zertifikate laufen anders ab, weshalb sie andere Menschen überraschen. Jahrelang konnte ein Zertifikat einmal installiert und jahrelang vergessen werden; dann wechselte die Ausstellung zur Automatisierung — kurze Laufzeiten, automatische Erneuerung, eine CA- oder Browser-Richtlinienänderung — und die Automatisierung selbst wurde zu dem Ding, das still bricht: eine Validierungsmethode wird eingestellt, eine DNS-Challenge zielt auf eine umgezogene Zone, ein Cronjob auf einem stillgelegten Server. An der Website hat sich nichts geändert, und doch verweigern Browser sie eines Morgens. Die Lektion beider Geschichten ist dieselbe: Ablauf ist kein Ereignis, von dem man hört. Es ist ein Datum, das man entweder absichtlich ansieht oder versehentlich vor seinen Nutzern kennenlernt.

Zwei Uhren, nicht eine

Jeder Name, der Ihnen wichtig ist, trägt zwei unabhängige Fristen. Die Domain-Uhr ist die Registrierung: bei einem Registrar gehalten, üblicherweise ein bis zehn Jahre, und wenn sie abläuft, löst sich der Name nicht mehr auf, Mail wird nicht mehr geroutet, und schließlich kann ein Fremder ihn registrieren und seinen Traffic und seine Passwort-Zurücksetzungsmails erben. Die Zertifikats-Uhr ist das TLS-Zertifikat auf dem Server oder CDN: von einer völlig anderen Organisation ausgestellt, üblicherweise für ein Jahr oder weniger, und wenn sie abläuft, blockieren Browser die Website, selbst wenn die Domain noch Jahre hat. Das eine zu verlängern berührt nie das andere. Eine Liste, die nur Domains verfolgt, wird von Zertifikaten überfallen, und ein Dashboard, das Registrierungen ignoriert, wird vom Registrar überfallen.

Deshalb zeigt eine nützliche Massenansicht immer beide Daten pro Zeile und sortiert nach dem, das zuerst kommt. Eine Domain mit neun Jahren Rest und ein Zertifikat mit neun Tagen Rest sind ein Neun-Tage-Problem. Ein frisch um ein Jahr erneuertes Zertifikat auf einer Domain, die nächsten Monat abläuft, ist ein Ein-Monats-Problem. Die früheste Uhr ist die echte Frist, und sich darin zu üben, Portfolios so zu lesen — früheste zuerst, alles andere Kontext — ist der größte Teil der Fähigkeit. Der Massen-Domainprüfer ist genau auf diese Lesart gebaut: eine Zeile pro Name, beide Uhren sichtbar, die ganze Tabelle nach der Frist sortiert, die wirklich beißen wird.

Eine monatliche Massenprüf-Routine

Die Routine ist absichtlich klein, weil eine Routine, die wehtut, nicht überlebt. Halten Sie eine kanonische Liste von Namen — jede Produktionsdomain, jede Weiterleitung, die noch zählt, jeden Kundennamen, wegen dem Sie einen Anruf bekämen — in einer Datei, eine Domain pro Zeile. Fügen Sie diese Datei einmal im Monat, oder einmal im Quartal für eine kleine, stabile Liste, in den Massen-Domainprüfer ein und lesen Sie die Tabelle von oben nach unten. Alles jenseits von 90 Tagen braucht nichts. Alles innerhalb von 90 Tagen bekommt einen Kalendereintrag. Alles innerhalb von 30 Tagen wird in dieser Sitzung erledigt, nicht für später notiert. Exportieren Sie die CSV und hängen Sie sie an das Ticket oder die monatliche Ops-Notiz, damit der Lauf des nächsten Monats gegen diesen verglichen werden kann.

Zwei Gewohnheiten machen die Routine vertrauenswürdig. Erstens: Lassen Sie die Liste absichtlich wachsen — jeder Launch, jede Migration und jede Übernahme endet mit „füge den Namen zur Liste hinzu“, und jede Stilllegung endet mit seinem Entfernen; eine Liste, die von der Realität abdriftet, gibt falsche Ruhe. Zweitens: Prüfen Sie den Eigentümer, nicht nur das Datum — bestätigen Sie für jeden Namen innerhalb von 90 Tagen, welches Registrar-Konto ihn hält und wer sich heute in dieses Konto einloggen kann. Eine Verlängerung, die Sie nicht ausführen können, weil das Konto einer früheren Agentur gehört, ist kein Verlängerungsproblem mit 90 Tagen zur Lösung; es ist ein Zugangsproblem mit 90 Tagen zur Lösung, und die dauern länger. Die Massentabelle gibt Ihnen die Daten in Minuten; geben Sie die gesparte Zeit für Eigentum aus.

Wenn etwas innerhalb von 30 Tagen liegt

Innerhalb von 30 Tagen zählt die Reihenfolge. Verlängern Sie zuerst die Domain. Eine verfallene Registrierung nimmt den Namen selbst weg — Auflösung, Mail und schließlich Eigentum — während ein verfallenes Zertifikat, so hässlich die Browserwarnung auch ist, den Namen in Ihren Händen lässt und an einem Nachmittag behebbar ist. Domain zuerst, Zertifikat danach, jedes Mal. Verlängern Sie um mehrere Jahre, wenn der Registrar es erlaubt: Es ist der billigste Weg, einen Namen lange aus dem Gefahrenfenster zu bewegen, und es schützt auch vor dem vergessenen Hinweis des nächsten Jahres, nicht nur vor dem diesjährigen. Bestätigen Sie dann, dass die Verlängerung wirklich gelandet ist — prüfen Sie das neue Ablaufdatum in der Massentabelle des nächsten Laufs, statt einer Zahlungsquittung zu vertrauen.

Kümmern Sie sich dann um das Zertifikat und prüfen Sie dabei den Eigentümer des Registrar-Kontos als getrennte Aufgabe. Wer erhält die Verlängerungshinweise für dieses Konto? Ist die Zahlungsmethode aktuell, und schlägt die Auto-Verlängerung bei diesem Registrar laut oder still fehl? Gehört das Konto einer Agentur, einem früheren Mitarbeiter oder einer persönlichen E-Mail-Adresse, ist sein Umzug auf ein Rollenkonto, das die Organisation kontrolliert, mehr wert als jede einzelne Verlängerung — es beseitigt die ganze Fehlerklasse, nicht nur diesen Fall. Notieren Sie, was Sie geändert haben, neben der exportierten CSV, damit die nächste Person ein System erbt, kein Rätsel.

Wann eine Einzelprüfung genügt

Masse ist für Portfolios; sie ist nicht die einzige Linse. Wenn Sie tief in einem Problem eines Namens stecken — eine Migration, ein Registrar-Transfer, eine Untersuchung zu „warum schlägt Mail fehl“ — zeigen die Einzelwerkzeuge mehr: Der Domain-Ablaufprüfer gibt den vollständigen Registry-Eintrag, Statuscodes und das DNS einer Domain, und der SSL-Prüfer gibt Kette, Namen und Protokolldetail eines Zertifikats. Besitzen Sie genau eine Domain und erinnern sich an sie wie an Ihren eigenen Geburtstag, genügt ehrlich eine Einzelprüfung, wenn Sie daran denken; Masse verdient ihren Platz in dem Moment, in dem die ehrliche Antwort auf „wie viele Domains haben wir?“ Zählen, Herumfragen oder das Öffnen von mehr als einem Registrar-Konto bedeutet.

Die Trennlinie ist das Gedächtnis. Alles, woran sich ein Team gemeinsam erinnern muss, wird es irgendwann gemeinsam vergessen — dafür sind Liste, Routine und Tabelle da. Beginnen Sie die Liste heute, solange sie kurz genug ist, um sie aus dem Gedächtnis zu schreiben, lassen Sie sie durch den Massen-Domainprüfer laufen und lassen Sie die früheste Uhr auf der Seite Ihnen sagen, ob Sie ein ruhiges Quartal oder eine volle Woche haben. Jede Antwort ist besser als die, die Ihnen eine abgelaufene Domain gibt.

Häufig gestellte Fragen