Ein abgelaufenes HTTPS-Zertifikat kann Besucher von einer Website aussperren, obwohl der Server läuft. Automatische Erneuerung senkt dieses Risiko. Eine fehlgeschlagene Verlängerung oder ein weiterhin ausgeliefertes altes Zertifikat kann trotzdem unbemerkt bleiben. SSL-Zertifikat-Monitoring prüft, was Ihr öffentlicher Endpunkt tatsächlich ausliefert, und schafft Zeit zum Handeln vor dem Ablauf.
In MetriBeacon erfasst ein HTTP-Monitor die verbleibenden Zertifikatstage zusammen mit Verfügbarkeit, Antwortzeit und HTTP-Status. Diese Anleitung zeigt Ihnen, wie Sie die richtige URL auswählen, eine Ablaufwarnung einrichten und aktuelle Zertifikatswerte von fehlenden Daten unterscheiden. Den allgemeinen Einstieg finden Sie im Beitrag zum Website-Monitoring.
Warum SSL-Zertifikate trotz automatischer Erneuerung überwachen?
Ein ACME-Client oder Hostinganbieter kümmert sich um Ausstellung und Erneuerung. Monitoring beantwortet eine andere Frage: Ist das Zertifikat, das Besucher erhalten, noch gültig, und wie viel Zeit bleibt?
Eine Erneuerung kann scheitern, weil die Prüfung der Domain nicht abgeschlossen wird. Sie kann auch erfolgreich sein, während ein Proxy weiterhin das vorherige Zertifikat ausliefert. Eine externe Prüfung hilft Ihnen, diese Lücke zwischen Ausstellung und Bereitstellung am Endpunkt zu erkennen.
„SSL-Zertifikat“ ist der geläufige Suchbegriff; modernes HTTPS verwendet TLS. MDN erklärt TLS und die Serverauthentifizierung: Ein Zertifikat verbindet den Serverschlüssel mit seinem Domainnamen. Eine gültige TLS-Verbindung beweist nicht, dass Anmeldung, Checkout oder jede API-Funktion funktionieren. Prüfen Sie deshalb auch die relevante HTTP-Antwort.
Den HTTPS-Hostnamen wählen, den Ihre Besucher nutzen
Beginnen Sie mit der genauen öffentlichen Adresse, zum Beispiel https://example.org/. Das ist ein Platzhalter: Ersetzen Sie ihn durch Ihre eigene Website. Verwenden Sie keine reine HTTP-Startadresse, wenn Sie vor allem das Zertifikat überwachen möchten.
Prüfen Sie, welche Endpunkte für Ihre Nutzer wichtig sind:
- Die Hauptdomain und einen separat genutzten
www-Hostnamen. - Einen API-Hostnamen, den Clients direkt aufrufen.
- Weitere öffentliche HTTPS-Dienste mit eigenen Zertifikaten oder getrennten Bereitstellungswegen.
Eine Weiterleitung macht Zertifikate nicht austauschbar. MetriBeacon erfasst die Zertifikatstage der ersten erfolgreich geprüften HTTPS-Antwort in der Weiterleitungskette. Ein Monitor liefert daher keine eigene Ablaufmessung für jeden späteren Hostnamen. Legen Sie separate Monitore für wichtige Endpunkte an, deren Zertifikatslaufzeit Sie unabhängig verfolgen möchten.
Bei einem CDN oder Reverse Proxy beobachtet die öffentliche Prüfung das Zertifikat, das dieser öffentliche Endpunkt präsentiert. Ein separates Zertifikat auf dem dahinterliegenden Ursprungsserver wird dadurch nicht untersucht. MetriBeacons HTTP-Prüfungen unterstützen öffentliche Adressen auf Port 80 und 443; Ziele im privaten Netzwerk gehören nicht zum Umfang dieses Monitors.
SSL-Zertifikat-Monitoring in MetriBeacon einrichten
Für diese HTTP-Prüfung müssen Sie keinen Agenten auf dem Server Ihrer Website installieren.
- Öffnen Sie Monitore, wählen Sie Ihren Arbeitsbereich und dann Monitor anlegen → Website oder API.
- Geben Sie einen eindeutigen Namen und die öffentliche HTTPS-URL ein.
- Wählen Sie GET oder HEAD sowie den erwarteten HTTP-Status. Nutzen Sie GET, wenn Sie zusätzlich Text oder einen unterstützten JSON-Wert prüfen möchten.
- Wählen Sie das Prüfintervall. Standard sind fünf Minuten; möglich sind eine bis 60 Minuten.
- Speichern Sie den Monitor und warten Sie auf das erste Ergebnis.
- Öffnen Sie die Messreihen des Monitors und prüfen Sie verbleibende Zertifikatstage, Messzeitpunkt und Verfügbarkeit. Richten Sie für Benachrichtigungen einen gesonderten Alarm ein.
Die Restlaufzeit wird in ganzen Tagen erfasst. Nutzen Sie sie als Vorlauf für Ihre Planung, nicht als sekundengenaue Ablauffrist. Eine Zahl ohne aktuelle Beobachtung belegt nicht, dass das derzeitige Zertifikat in Ordnung ist. Die Anleitung zu HTTP-Monitoren beschreibt Konfiguration und Ergebniszustände.
Ablaufwarnungen mit ausreichend Reaktionszeit einrichten
Wählen Sie einen Grenzwert, der Zeit für Prüfung, Erneuerung und Bereitstellung lässt. Übernehmen Sie keinen Warnzeitraum, ohne Zertifikatslaufzeit, Erneuerungsplan und Zuständigkeit zu berücksichtigen.
MetriBeacons vorgeschlagene Zertifikatsregel löst unter 14 Tagen aus und gibt über 21 Tagen Entwarnung. Das sind Ausgangswerte dieser vorgeschlagenen Regel, keine allgemeingültige Erneuerungsstrategie. Numerische Regeln lassen sich anpassen. Ein Team könnte beispielsweise unter 14 Tagen warnen und eine separate kritische Regel unter sieben Tagen verwenden. Für kurzlebige Zertifikate können deutlich andere Werte nötig sein.
Der Abstand zwischen Alarm- und Entwarnungsgrenze heißt Hysterese: Er verhindert, dass ein Vorfall nahe derselben Grenze wiederholt öffnet und schließt. Die Entwarnungsgrenze muss nach erfolgreicher Erneuerung erreichbar sein. Wählen Sie den letzten Wert, wenn Sie die aktuell beobachtete Restlaufzeit prüfen möchten, und stimmen Sie eine nötige Mindestdauer auf das Prüfintervall ab.
Ein Alarm benötigt außerdem ein Ziel:
- Legen Sie ein E-Mail-Ziel an und bestätigen Sie es, oder verbinden Sie einen privaten Telegram-Chat.
- Senden Sie eine Testnachricht, um die Verbindung zu prüfen.
- Wählen Sie dieses Ziel in der Zertifikatsregel aus und aktivieren Sie die Regel.
- Legen Sie fest, wer die Warnung bearbeitet und wie Erinnerungen funktionieren sollen.
Mehr dazu finden Sie unter numerische Regeln und Hysterese sowie E-Mail und Telegram einrichten. Das Anlegen eines Monitors allein meldet Sie nicht für Ablaufnachrichten an.
Fehlende Zertifikatsdaten sind keine Entwarnung
Zertifikatstage setzen eine erfolgreiche Beobachtung eines Zertifikats voraus. Scheitert die TLS-Prüfung, bevor eine Antwort vorliegt, kann ein neuer Wert für Zertifikatstage fehlen. Ein abgelaufenes oder ungültiges Zertifikat erscheint nicht automatisch als aktueller Null-Tage-Wert.
Betrachten Sie letzten Messzeitpunkt, Verfügbarkeit und Diagnosedetails gemeinsam. DNS-Probleme, Netzwerkfehler, pausierte Prüfungen oder ausgeschöpfte Budgets können ebenfalls Lücken verursachen. Unbekannt bedeutet, dass sich der Zielzustand nicht verlässlich bestimmen ließ. Es belegt weder einen bestätigten Website-Ausfall noch funktionierendes HTTPS.
Eine numerische Ablaufregel ersetzt keine Überwachung fehlender Daten. Ergänzen Sie bei Bedarf eine passende Ausbleiberegel für die Zertifikatsreihe, damit Sie erfahren, wenn aktuelle Beobachtungen ausbleiben. Berücksichtigen Sie das erwartete Intervall und geplante Wartung. Überwachen Sie die Verfügbarkeit separat, damit ein Website-Problem auch ohne neuen Ablaufwert sichtbar wird.
Prüfen, ob die Erneuerung am öffentlichen Endpunkt ankommt
MetriBeacon beobachtet die Zertifikatslaufzeit; es erneuert oder installiert keine Zertifikate für Sie. Die automatische Erneuerung bleibt Aufgabe Ihrer Hostingplattform oder ACME-Werkzeuge.
Let's Encrypt empfiehlt in seiner Integrationsanleitung, ACME Renewal Information für den Erneuerungszeitpunkt zu verwenden und die Erneuerung zu automatisieren. Ihre Monitoringwarnung sollte Spielraum zur Fehlerbehebung vor dem Ablauf lassen, statt diesen Prozess zu ersetzen. Gehen Sie nicht davon aus, dass jedes Zertifikat dieselbe Laufzeit hat.
Prüfen Sie nach einer Warnung die Erneuerungsprotokolle und die zuständige Hostingkonfiguration. Wenn die Erneuerung erfolgreich ist, kontrollieren Sie das von außen beobachtete Ergebnis:
- Warten Sie auf eine aktuelle MetriBeacon-Prüfung; beurteilen Sie den Erfolg nicht anhand eines alten Diagrammwerts.
- Prüfen Sie, ob die verbleibenden Tage auf die erwartete neue Laufzeit steigen.
- Prüfen Sie, ob HTTPS-Aufruf und erwartete HTTP-Antwort weiterhin funktionieren.
- Kontrollieren Sie separat überwachte Hostnamen, Proxys oder CDN-Endpunkte, die Zertifikate unabhängig bereitstellen können.
- Prüfen Sie, ob die Regel nach erfüllter Entwarnungsbedingung schließt.
Läuft Ihr eigenes Erneuerungsskript als geplanter Job, kann Cronjob-Monitoring die öffentliche Zertifikatsprüfung ergänzen. Ein erfolgreicher Job und eine aktuelle Endpunktmessung liefern unterschiedliche Nachweise.
Eine praktische Checkliste für SSL-Monitoring
Beginnen Sie mit einem wichtigen öffentlichen Endpunkt. Erweitern Sie die Überwachung dort, wo Zertifikate oder Bereitstellungswege auseinandergehen.
- Der Monitor startet mit dem HTTPS-Hostnamen, den Besucher tatsächlich nutzen.
- Zertifikatstage und Beobachtungszeitpunkt sind sichtbar.
- Die Ablaufgrenze passt zu Erneuerungsplan und Reaktionszeit.
- Ein bestätigtes Benachrichtigungsziel ist ausgewählt und getestet.
- Verfügbarkeit und fehlende Beobachtungen haben passende eigene Regeln.
- Für Fehler bei Erneuerung und Bereitstellung gibt es eine Zuständigkeit.
- Ein aktuelles Ergebnis bestätigt, dass das erneuerte Zertifikat ausgeliefert wird.
MetriBeacon ist innerhalb der dokumentierten Monitoringkontingente kostenlos. HTTP-Prüfungen und Benachrichtigungen nutzen die verfügbaren Kontobudgets. Berücksichtigen Sie diese Grenzen bei Prüfintervallen und Anzahl der Endpunkte.
Häufige Fragen zum SSL-Zertifikat-Monitoring
Kann ich SSL-Zertifikate mit MetriBeacon kostenlos überwachen?
Ja. Die HTTPS-Zertifikatstage gehören zum HTTP-Monitor innerhalb der dokumentierten Kontokontingente. Legen Sie einen Monitor für eine öffentliche HTTPS-URL an und richten Sie einen gesonderten Alarm für die Restlaufzeit ein.
Erneuert MetriBeacon mein SSL-Zertifikat automatisch?
Nein. Erneuerung und Installation bleiben beim Hostinganbieter oder ACME-Client. MetriBeacon prüft den öffentlichen Endpunkt und kann Sie über eine eingerichtete Regel mit Benachrichtigungsziel informieren.
Deckt ein Monitor alle Subdomains und Weiterleitungen ab?
Nein. Der Monitor erfasst eine Zertifikatstage-Reihe aus der ersten erfolgreich geprüften HTTPS-Antwort. Ergänzen Sie separate Monitore für wichtige HTTPS-Hostnamen, wenn Sie deren Ablauf unabhängig messen möchten.
Warum gibt es keinen aktuellen Wert für Zertifikatstage?
Eine fehlgeschlagene TLS-Verbindung oder eine andere Unterbrechung der Prüfung kann eine neue Messung verhindern. Prüfen Sie Zeitpunkte und Diagnose. Nutzen Sie eine Ausbleiberegel, statt fehlende Daten als null oder als gültiges Zertifikat zu interpretieren.
Wie viele Tage vor dem Ablauf sollte eine Warnung kommen?
Es gibt keinen passenden Grenzwert für jedes Zertifikat. Wählen Sie ihn nach tatsächlicher Laufzeit, automatischem Erneuerungszeitpunkt und Reaktionszeit. Die 14-Tage-Warnung der vorgeschlagenen Regel lässt sich ändern; kurzlebige Zertifikate brauchen ein geeignetes kleineres Zeitfenster und frühzeitige Bearbeitung.
Bereit für den Einstieg? Erstellen Sie Ihr MetriBeacon-Konto oder öffnen Sie mit dem Button unten die Vorlage Website oder API und legen Sie Ihren ersten HTTPS-Monitor an.
