AUT-0287· Безпека та відповідність
Контроль поновлення TLS-сертифіката на сервісі
Поновлення сертифіката завершується перевіркою того, що сервіс віддає чинний сертифікат потрібного домену.
Чернетка · Оцінка потребує перевірки
01 / Проблема
Новий сертифікат отримали, але сервер або проксі продовжує віддавати старий, тому захищене з’єднання перестає працювати.
02 / Результат
Для погоджених адрес підтверджено чинний встановлений сертифікат, належний ланцюжок довіри та робоче з’єднання.
03 / Процес
ТригерНаближається погоджена межа поновлення сертифіката, отримано помилку поновлення або виявлено старий сертифікат на сервісі.
Пов’язати сертифікат, доменні імена, місця завершення TLS, відповідального й джерела фактичного стану; приватні ключі в CRM не копіювати.
Звірити чинний строк, потрібні імена та дозволений спосіб підтвердження контролю домену; погодити маршрут поновлення й аварійні дії.
Отримати фактичний результат клієнта або провайдера; успішний запуск без нового сертифіката не вважати поновленням.
Перевірити новий сертифікат, імена й строк; тестовий випуск не підміняє сертифікат для робочого сервісу.
Уповноважений адміністратор застосовує сертифікат у погоджених місцях і виконує потрібне перезавантаження конфігурації; факт випуску не доводить застосування.
Перевірити з’єднання з належним доменним ім’ям, строк і довіру до ланцюжка на погоджених адресах; старий сертифікат або помилка лишають роботу відкритою.
Підтвердити налаштований наступний цикл і маршрут сповіщення про збій; зберегти докази без приватних ключів та DNS-секретів.
Закрити цикл за перевіреним результатом; повторний сигнал того самого циклу не створює нове поновлення.
04 / Реалізація1 варіант
Приклад · Приймання поновлення за сертифікатом і сервісом
Клієнт поновлення створив новий сертифікат. Один проксі застосував його, інший віддає старий. Цикл лишили відкритим, виправили конфігурацію й повторно перевірили обидва вузли. Повторний журнал успішного випуску не закрив невиправлений проксі й не створив нову задачу.
Спосіб реалізації
- Проєктна модель PlanFix: сертифікат і публічні метадані, доменні імена, вузли, результати випуску й перевірки; приватні ключі та застосування залишаються в захищеній інфраструктурі.
Що потрібно для реалізації
- Є перелік доменів, сертифікатів і фактичних місць завершення TLS.
- Погоджені права адміністратора, джерела перевірки та маршрут виправлення помилки.
- Є авторитетні результати випуску й перелік перевірок.
- Доступний дозволений маршрут застосування.
Обмеження
- Не видає сертифікат і не змінює сервер без дозволеної зовнішньої процедури.
- Не зберігає приватні ключі або секрети DNS у CRM.
- Строк беруть із фактичного сертифіката й правил провайдера; універсальний цикл у днях не задано.
- Нульовий код завершення Certbot renew може означати, що поновлення не потрібне.
- Випуск, застосування й зовнішня перевірка сервісу мають окремі докази; тестовий випуск не доводить робочого результату.
- Не замінює перевірку безпеки всього сервісу; доменна реєстрація й сертифікати підписання коду мають інші процеси.
- Години попередні; міграція інфраструктури, зміна криптографічної політики й зовнішні платежі не включені.
- Не закриває цикл за файлом нового сертифіката без перевірки сервісу.
- Не вважає перевірку одного вузла доказом для інших.
Що потрібно уточнити (2)
- Чи потрібно отримувати результати поновлення із зовнішнього джерела?
Перевірте доступ, фактичний новий сертифікат і стан застосування; успішний запуск клієнта не доводить поновлення.
- Чи потрібно перевіряти кілька серверів або місць завершення TLS?
Погодьте адреси й доменні імена; один успішний вузол не підтверджує весь перелік.