Verifique os seus domínios e certificados em volume

Porque expiram domínios e certificados

Os avisos de renovação vão para onde a conta aponta, e as contas apontam para pessoas. A falha clássica é um e-mail de renovação enviado para a caixa de um funcionário que saiu — o registador fez o seu trabalho, a caixa não, e o primeiro «aviso» que alguém vê é o site a apagar-se. Logo a seguir vem a névoa organizacional pura: o registador não é o alojamento não é o fornecedor de DNS, e cada equipa supõe que outra trata da renovação. Some um cartão de renovação automática que ele próprio expirou, um domínio registado há anos por uma agência que já não responde e uma carteira crescida por aquisições, e a expiração deixa de parecer descuido. É o resultado por omissão de uma data sem dono.

Os certificados expiram de outro modo, e é por isso que surpreendem outra gente. Durante anos um certificado podia ser instalado uma vez e esquecido durante anos; depois a emissão passou para a automação — vidas curtas, renovação automática, uma mudança de política de uma CA ou de um navegador — e a própria automação tornou-se aquilo que se parte em silêncio: um método de validação retirado, um desafio DNS a apontar para uma zona que se mudou, um cron num servidor retirado. Nada no site mudou, e no entanto uma manhã os navegadores recusam-no. A lição das duas histórias é a mesma: a expiração não é um acontecimento de que se ouve falar. É uma data que ou se olha de propósito, ou se conhece por acidente diante dos utilizadores.

Dois relógios, não um

Cada nome que lhe importa traz dois prazos independentes. O relógio do domínio é o registo: nas mãos de um registador, normalmente de um a dez anos, e quando se esgota o nome deixa de resolver, o correio deixa de ser encaminhado e, no fim, um estranho pode registá-lo e herdar o seu tráfego e os seus e-mails de reposição de palavra-passe. O relógio do certificado é o certificado TLS do servidor ou da CDN: emitido por uma organização completamente diferente, normalmente por um ano ou menos, e quando se esgota os navegadores bloqueiam o site mesmo que ao domínio faltem anos. Renovar um nunca toca no outro. Uma lista que só segue domínios será emboscada pelos certificados, e um painel que só olha para certificados será emboscado pelo registador.

É por isso que uma vista em volume útil mostra sempre as duas datas por linha e ordena pela que chegue primeiro. Um domínio com nove anos pela frente e um certificado com nove dias é um problema de nove dias. Um certificado acabado de renovar por um ano sobre um domínio que expira no mês que vem é um problema de um mês. O relógio mais próximo é o prazo real, e treinar-se para ler as carteiras assim — o mais próximo primeiro, tudo o resto como contexto — é a maior parte da habilidade. O verificador em massa de domínios foi construído exatamente sobre essa leitura: uma linha por nome, os dois relógios visíveis, a tabela inteira ordenada pelo prazo que de facto vai morder.

Uma rotina mensal em volume

A rotina é deliberadamente pequena, porque uma rotina que dói não sobrevive. Guarde uma lista canónica de nomes — cada domínio de produção, cada redirecionamento que ainda importa, cada nome de cliente por quem receberia um telefonema — num só ficheiro, um domínio por linha. Uma vez por mês, ou uma vez por trimestre para uma lista pequena e estável, cole esse ficheiro no verificador em massa de domínios e leia a tabela de cima para baixo. Tudo o que estiver além de 90 dias não precisa de nada. Tudo o que estiver dentro de 90 dias recebe uma entrada de calendário. Tudo o que estiver dentro de 30 dias é resolvido naquela mesma sessão, não anotado para depois. Exporte o CSV e anexe-o ao ticket ou à nota mensal de operações, para que a passagem do mês seguinte possa ser comparada com esta.

Dois hábitos tornam a rotina fiável. Primeiro, faça crescer a lista deliberadamente: cada lançamento, migração e aquisição termina com «adiciona o nome à lista», e cada retirada termina por removê-lo — uma lista que se afasta da realidade dá uma calma falsa. Segundo, verifique o dono, não só a data: para cada nome dentro de 90 dias, confirme que conta de registador o detém e quem consegue entrar hoje nessa conta. Uma renovação que não consegue executar porque a conta pertence a uma antiga agência não é um problema de renovação com 90 dias para resolver; é um problema de acesso com 90 dias para resolver, e esses demoram mais. A tabela em volume dá-lhe as datas em minutos; gaste o tempo poupado na propriedade.

Quando algo está a menos de 30 dias

Dentro de 30 dias, a ordem importa. Renove primeiro o domínio. Um registo expirado leva o próprio nome — resolução, correio e, no fim, a propriedade — enquanto um certificado expirado, por feio que seja o aviso do navegador, deixa o nome nas suas mãos e corrige-se numa tarde. Domínio primeiro, certificado depois, sempre. Renove por vários anos quando o registador o permitir: é a forma mais barata de tirar um nome da janela de perigo por muito tempo, e protege também contra o aviso esquecido do ano seguinte, não só contra o deste. Depois confirme que a renovação aterrou de facto — verifique a nova data na tabela em volume da passagem seguinte em vez de confiar num recibo de pagamento.

Depois trate do certificado e, enquanto o faz, verifique o dono da conta do registador como tarefa separada. Quem recebe os avisos de renovação desta conta? O método de pagamento está atual? E a renovação automática neste registador falha em voz alta ou em silêncio? Se a conta estiver nas mãos de uma agência, de um antigo funcionário ou de um e-mail pessoal, movê-la para uma conta de função que a organização controle vale mais do que qualquer renovação isolada — elimina toda a classe de falha, não apenas este caso. Anote o que mudou junto ao CSV que exportou, para que a próxima pessoa herde um sistema, não um mistério.

Quando basta uma verificação individual

O volume é para carteiras; não é a única lente. Quando está mergulhado no problema de um só nome — uma migração, uma transferência de registador, uma investigação de «porque falha o correio» — as ferramentas individuais mostram mais: o verificador de expiração de domínios dá o registo completo, os códigos de estado e o DNS de um domínio, e o verificador SSL dá a cadeia, os nomes e o detalhe de protocolo de um certificado. Se tem exatamente um domínio e se lembra dele como se lembra do seu próprio aniversário, uma verificação individual quando se lembrar é, honestamente, suficiente; o volume ganha o seu lugar no momento em que a resposta honesta a «quantos domínios temos?» implica contar, perguntar por aí ou abrir mais do que uma conta de registador.

A linha divisória é a memória. Tudo o que uma equipa tem de se lembrar em conjunto, acabará por esquecer em conjunto — é para isso que servem a lista, a rotina e a tabela. Comece a lista hoje, enquanto é curta o bastante para a escrever de memória, passe-a pelo verificador em massa de domínios e deixe o relógio mais próximo da página dizer-lhe se tem um trimestre calmo ou uma semana ocupada. Qualquer das respostas é melhor do que a que um domínio expirado lhe dá.

Perguntas frequentes