Проверяйте домены и сертификаты оптом

Почему домены и сертификаты истекают

Уведомления о продлении идут туда, куда указывает аккаунт, а аккаунты указывают на людей. Классический провал — письмо о продлении, отправленное в почтовый ящик ушедшего сотрудника: регистратор сделал свою работу, ящик — нет, и первое «уведомление», которое кто-либо видит, — это гаснущий сайт. Сразу за ним — чистый организационный туман: регистратор — не хост — не DNS-провайдер, и каждая команда предполагает, что продлением занимается другая. Добавьте карту автопродления, которая сама истекла, домен, зарегистрированный годы назад агентством, которое больше не отвечает, и портфолио, выросшее за счёт поглощений, — и истечение перестаёт выглядеть как небрежность. Это результат по умолчанию для даты, у которой нет владельца.

Сертификаты истекают иначе, поэтому удивляют других людей. Годами сертификат можно было установить один раз и забыть на годы; затем выпуск перешёл к автоматизации — короткие сроки жизни, автоматическое продление, изменение политики CA или браузера — и сама автоматизация стала тем, что ломается молча: отменённый метод валидации, DNS-вызов, нацеленный на переехавшую зону, cron-задание на списанном сервере. На сайте ничего не изменилось, и всё же одним утром браузеры его отвергают. Урок обеих историй один и тот же: истечение — не событие, о котором вы услышите. Это дата, на которую вы либо смотрите специально, либо встречаете её случайно перед своими пользователями.

Двое часов, а не одни

Каждое имя, которое вам важно, несёт два независимых срока. Часы домена — это регистрация: у регистратора, обычно от одного до десяти лет, и когда они заканчиваются, имя перестаёт разрешаться, почта перестаёт маршрутизироваться, и в итоге посторонний может зарегистрировать его и унаследовать его трафик и письма сброса пароля. Часы сертификата — это TLS-сертификат на сервере или CDN: выпущен совершенно другой организацией, обычно на год или меньше, и когда они заканчиваются, браузеры блокируют сайт, даже если домену остаются годы. Продление одних никогда не трогает другие. Список, отслеживающий только домены, попадёт в засаду сертификатов, а панель, игнорирующая регистрации, попадёт в засаду регистратора.

Поэтому полезный массовый вид всегда показывает обе даты в каждой строке и сортирует по той, что наступит первой. Домен, которому осталось девять лет, и сертификат, которому осталось девять дней, — это проблема на девять дней. Свежепродлённый на год сертификат на домене, который истекает в следующем месяце, — это проблема на один месяц. Ближайшие часы — настоящий срок, и приучить себя читать портфолио именно так — ближайшие первыми, всё остальное как контекст — это большая часть навыка. Массовый проверяющий доменов построен ровно на этом чтении: одна строка на имя, оба часа видны, вся таблица упорядочена по сроку, который действительно укусит.

Ежемесячная рутина массовой проверки

Рутина намеренно мала, потому что рутина, которая причиняет боль, не выживает. Ведите один канонический список имён — каждый продакшен-домен, каждый редирект, который ещё важен, каждое клиентское имя, из-за которого вам позвонят, — в одном файле, по одному домену в строке. Раз в месяц, или раз в квартал для маленького стабильного списка, вставляйте этот файл в массовый проверяющий доменов и читайте таблицу сверху вниз. Всё, что дальше 90 дней, ничего не требует. Всё внутри 90 дней получает запись в календаре. Всё внутри 30 дней решается в тот же присест, а не записывается на потом. Экспортируйте CSV и приложите его к тикету или ежемесячной операционной заметке, чтобы проход следующего месяца можно было сравнить с этим.

Две привычки делают рутину надёжной. Во-первых, растите список намеренно: каждый запуск, миграция и поглощение заканчивается словами «добавь имя в список», а каждое списание заканчивается его удалением — список, уходящий от реальности, даёт ложное спокойствие. Во-вторых, проверяйте владельца, а не только дату: для каждого имени внутри 90 дней подтвердите, какой аккаунт регистратора его держит и кто может войти в этот аккаунт сегодня. Продление, которое вы не можете выполнить, потому что аккаунт принадлежит бывшему агентству, — это не проблема продления с 90 днями на решение; это проблема доступа с 90 днями на решение, а они занимают больше времени. Массовая таблица даёт вам даты за минуты; потратьте сэкономленное время на владение.

Когда что-то находится внутри 30 дней

Внутри 30 дней порядок имеет значение. Сначала продлевайте домен. Истёкшая регистрация забирает само имя — разрешение, почту и, в итоге, владение, — в то время как истёкший сертификат, каким бы уродливым ни было предупреждение браузера, оставляет имя в ваших руках и чинится за один день. Домен первым, сертификат вторым, каждый раз. Продлевайте на несколько лет, когда регистратор позволяет: это самый дешёвый способ надолго вывести имя из опасного окна, и это защищает также от забытого уведомления следующего года, а не только от нынешнего. Затем подтвердите, что продление действительно состоялось — проверьте новую дату окончания в массовой таблице следующего прохода, а не доверяйте квитанции об оплате.

Затем займитесь сертификатом и при этом проверьте владельца аккаунта регистратора как отдельную задачу. Кто получает уведомления о продлении для этого аккаунта? Актуален ли способ оплаты, и автопродление у этого регистратора проваливается громко или молча? Если аккаунт держит агентство, бывший сотрудник или личный адрес электронной почты, его перенос на ролевой аккаунт, который контролирует организация, стоит больше, чем любое одиночное продление — он устраняет весь класс отказов, а не только этот случай. Запишите, что вы изменили, рядом с экспортированным CSV, чтобы следующий человек унаследовал систему, а не загадку.

Когда достаточно одиночной проверки

Масса — для портфолио; это не единственная линза. Когда вы глубоко погружены в проблему одного имени — миграция, перенос регистратора, расследование «почему не ходит почта» — одиночные инструменты показывают больше: проверка окончания домена даёт полную запись реестра, коды статуса и DNS одного домена, а проверка SSL даёт цепочку, имена и детали протокола одного сертификата. Если у вас ровно один домен и вы помните его, как свой собственный день рождения, одиночной проверки, когда вы о нём вспомните, честно достаточно; масса окупает себя в тот момент, когда честный ответ на вопрос «сколько у нас доменов?» подразумевает подсчёт, расспросы или открытие более чем одного аккаунта регистратора.

Разделительная линия — память. Всё, что команда должна помнить вместе, она в итоге вместе и забудет — для этого и существуют список, рутина и таблица. Начните список сегодня, пока он достаточно короткий, чтобы написать его по памяти, прогоните его через массовый проверяющий доменов и позвольте ближайшим часам на странице сказать вам, ждёт ли вас спокойный квартал или занятая неделя. Любой ответ лучше того, который даёт вам истёкший домен.

Часто задаваемые вопросы