Das Zertifikat von embdev.net ist heute abgelaufen. Da dort auch HSTS aktiv ist, komme ich z.B. mit dem Firefox gar nicht mehr drauf. Ich würde mich freuen wenn das zeitnah erneuert werden könnte. Außerdem würde ich anregen, soetwas mit einer automatischen Überwachungssoftware in Zukunft rechtzeitig vorher zu erkennen. Kann man entweder selbst aufsetzen, z.B. mit Icinga, Nagios,... oder als Dienstleistung einkaufen, z.B. Server-Eye.
Da es von Letsencrypt ist, sollte sich der Renew automatisieren lassen.
Auch bei der Automatisierung kann mal etwas schief laufen, eine Überwachung macht daher meiner Meinung nach in jedem Fall Sinn.
hmm, das erinnert mich daran, was ich neulich im Büro erlebt habe: ich habe an einem Projekt eine Änderung gemacht, getestet und eingespielt. Email an den Kunden geht raus, Meldung kommt zurück, dass die Webseite nicht funktioniert. kurz aufgerufen, Zertifikat abgelaufen. hmm, was ist das jetzt los? - monitoring sagt, das Zertifikat ist ok - händischer Check ob das Überwachungsscript richtig arbeitet auch ok - vor 20 Minuten hats noch funktioniert also wo zum Geier ist das Problem? die Lösung war recht einfach: nginx lädt die Zertifikate nur einmal in den RAM. Wenn es dazwischen abläuft, dann ist es eben ungültig. Die lösung war dann ein automatisierter reload wenn zumindest ein Zertifikat erneuert wurde.
Daniel F. schrieb: > Die lösung war dann ein automatisierter reload wenn zumindest ein > Zertifikat erneuert wurde. Den Reload muss man beim Apache auch machen.
nach außen habe ich nur nginx. und die internen apachen sprechen nicht die sprache des verschlüsselten mannes ;-) aber trotzdem gut zu wissen
Daniel F. schrieb: > die Lösung war recht einfach: nginx lädt die Zertifikate nur einmal in > den RAM. Wenn es dazwischen abläuft, dann ist es eben ungültig. > Die lösung war dann ein automatisierter reload wenn zumindest ein > Zertifikat erneuert wurde. Genau das war auch bei embdev.net das Problem. Ich allerdings bei letsencrypt damit gerechnet noch in das ein oder andere Problem dieser Art zu laufen, deshalb bin ich bei Mikrocontroller.net erst mal bei einem klassischen 3-Jahres-Zertifikat geblieben. Das muss allerdings demnächst wohl auch ersetzt werden, da Symantec bei Google und anderen in Ungnade gefallen ist...
Antwort schreiben
Bitte melde dich an, um einen Beitrag zu schreiben.