Vérifiez vos domaines et certificats en masse

Pourquoi les domaines et certificats expirent

Les avis de renouvellement vont là où le compte pointe, et les comptes pointent vers des personnes. L’échec classique est un e-mail de renouvellement envoyé à la boîte d’un employé parti — le bureau d’enregistrement a fait son travail, la boîte non, et le premier « avis » que quiconque voit est le site qui s’éteint. Juste derrière vient le brouillard organisationnel pur : le bureau d’enregistrement n’est pas l’hébergeur n’est pas le fournisseur DNS, et chaque équipe suppose qu’une autre s’occupe du renouvellement. Ajoutez une carte de renouvellement automatique elle-même expirée, un domaine enregistré il y a des années par une agence qui ne répond plus et un portefeuille grandi par acquisitions, et l’expiration cesse de ressembler à de la négligence. C’est le résultat par défaut d’une date qui n’appartient à personne.

Les certificats expirent autrement, et c’est pourquoi ils surprennent d’autres personnes. Pendant des années, un certificat pouvait être installé une fois et oublié des années ; puis l’émission est passée à l’automatisation — durées courtes, renouvellement automatique, changement de politique d’une CA ou d’un navigateur — et l’automatisation elle-même est devenue ce qui se casse en silence : une méthode de validation retirée, un défi DNS visant une zone qui a déménagé, un cron sur un serveur retiré. Rien sur le site n’a changé, et pourtant un matin les navigateurs le refusent. La leçon des deux histoires est la même : l’expiration n’est pas un événement dont on entend parler. C’est une date que l’on regarde exprès, ou que l’on rencontre par accident devant ses utilisateurs.

Deux horloges, pas une

Chaque nom qui compte pour vous porte deux échéances indépendantes. L’horloge du domaine, c’est l’enregistrement : détenu chez un bureau d’enregistrement, en général d’un à dix ans, et quand elle s’épuise le nom cesse de se résoudre, le courrier cesse d’être routé, et un inconnu peut finir par l’enregistrer et hériter de son trafic et de ses e-mails de réinitialisation. L’horloge du certificat, c’est le certificat TLS sur le serveur ou le CDN : émis par une organisation entièrement différente, en général pour un an ou moins, et quand elle s’épuise les navigateurs bloquent le site même s’il reste des années au domaine. Renouveler l’une ne touche jamais l’autre. Une liste qui ne suit que les domaines sera prise en embuscade par les certificats, et un tableau de bord qui ignore les enregistrements sera pris en embuscade par le bureau d’enregistrement.

C’est pourquoi une vue en masse utile montre toujours les deux dates par ligne et trie par celle qui arrive en premier. Un domaine avec neuf ans devant lui et un certificat avec neuf jours est un problème de neuf jours. Un certificat fraîchement renouvelé pour un an sur un domaine qui expire le mois prochain est un problème d’un mois. L’horloge la plus proche est la vraie échéance, et s’entraîner à lire les portefeuilles ainsi — la plus proche d’abord, tout le reste en contexte — est l’essentiel du savoir-faire. Le vérificateur de domaines en masse est construit exactement sur cette lecture : une ligne par nom, les deux horloges visibles, tout le tableau ordonné par l’échéance qui mordra vraiment.

Une routine mensuelle en masse

La routine est volontairement petite, parce qu’une routine qui fait mal ne survit pas. Gardez une liste canonique de noms — chaque domaine de production, chaque redirection qui compte encore, chaque nom de client pour lequel vous recevriez un appel — dans un seul fichier, un domaine par ligne. Une fois par mois, ou une fois par trimestre pour une liste petite et stable, collez ce fichier dans le vérificateur de domaines en masse et lisez le tableau de haut en bas. Tout ce qui est au-delà de 90 jours n’a besoin de rien. Tout ce qui est dans les 90 jours reçoit une entrée d’agenda. Tout ce qui est dans les 30 jours se règle dans cette séance-là, pas noté pour plus tard. Exportez le CSV et joignez-le au ticket ou à la note mensuelle d’exploitation, pour que la passe du mois prochain puisse être comparée à celle-ci.

Deux habitudes rendent la routine fiable. D’abord, faites grandir la liste délibérément : chaque lancement, migration et acquisition se termine par « ajoute le nom à la liste », et chaque retrait se termine en l’enlevant — une liste qui dérive de la réalité donne un faux calme. Ensuite, vérifiez le propriétaire, pas seulement la date : pour chaque nom dans les 90 jours, confirmez quel compte de bureau d’enregistrement le détient et qui peut se connecter à ce compte aujourd’hui. Un renouvellement que vous ne pouvez pas exécuter parce que le compte appartient à une ancienne agence n’est pas un problème de renouvellement avec 90 jours pour le résoudre ; c’est un problème d’accès avec 90 jours pour le résoudre, et ceux-là prennent plus de temps. Le tableau en masse vous donne les dates en quelques minutes ; dépensez le temps gagné sur la propriété.

Quand quelque chose est à moins de 30 jours

À moins de 30 jours, l’ordre compte. Renouvelez d’abord le domaine. Un enregistrement échu emporte le nom lui-même — résolution, courrier et, au bout du compte, la propriété — tandis qu’un certificat échu, aussi laid que soit l’avertissement du navigateur, laisse le nom entre vos mains et se répare en un après-midi. Domaine d’abord, certificat ensuite, à chaque fois. Renouvelez pour plusieurs années quand le bureau d’enregistrement le permet : c’est le moyen le moins cher de sortir un nom de la fenêtre de danger pour longtemps, et cela vous protège aussi contre l’avis oublié de l’année prochaine, pas seulement contre celui de cette année. Confirmez ensuite que le renouvellement a vraiment atterri — vérifiez la nouvelle date dans le tableau en masse de la passe suivante au lieu de faire confiance à un reçu de paiement.

Occupez-vous ensuite du certificat et, pendant que vous y êtes, vérifiez le propriétaire du compte du bureau d’enregistrement comme une tâche séparée. Qui reçoit les avis de renouvellement de ce compte ? Le moyen de paiement est-il à jour, et le renouvellement automatique échoue-t-il bruyamment ou en silence chez ce bureau ? Si le compte est détenu par une agence, un ancien employé ou une adresse personnelle, le déplacer vers un compte de rôle que l’organisation contrôle vaut plus que n’importe quel renouvellement isolé — cela supprime toute la classe d’échec, pas seulement ce cas-ci. Notez ce que vous avez changé à côté du CSV exporté, pour que la personne suivante hérite d’un système, pas d’un mystère.

Quand un contrôle unitaire suffit

Le masse est pour les portefeuilles ; ce n’est pas la seule lentille. Quand vous êtes plongé dans le problème d’un seul nom — une migration, un transfert de bureau d’enregistrement, une enquête « pourquoi le courrier échoue » — les outils unitaires en montrent plus : le vérificateur d’expiration de domaine donne l’enregistrement complet du registre, les codes de statut et le DNS d’un domaine, et le vérificateur SSL donne la chaîne, les noms et le détail de protocole d’un certificat. Si vous possédez exactement un domaine et que vous vous en souvenez comme de votre propre anniversaire, un contrôle unitaire quand vous y pensez suffit honnêtement ; le masse gagne sa place au moment où la réponse honnête à « combien de domaines avons-nous ? » implique de compter, de demander autour de soi ou d’ouvrir plus d’un compte de bureau d’enregistrement.

La ligne de partage, c’est la mémoire. Tout ce qu’une équipe doit se rappeler ensemble, elle finira par l’oublier ensemble — c’est à cela que servent la liste, la routine et le tableau. Commencez la liste aujourd’hui, tant qu’elle est assez courte pour être écrite de mémoire, faites-la passer par le vérificateur de domaines en masse, et laissez l’horloge la plus proche de la page vous dire si vous avez un trimestre calme ou une semaine chargée. L’une ou l’autre réponse vaut mieux que celle que vous donne un domaine expiré.

Questions fréquentes