Certyfikaty, domeny i DNS

Trzy rzeczy psują stronę, choć serwer ani na chwilę nie przestaje działać: wygasły certyfikat, rejestracja domeny, której nikt nie odnowił, i rekord DNS, który ktoś zmienił. Każdy cel dostaje te sprawdzenia w pakiecie i żadne z nich nie zajmuje slotu monitora.

Działają, dopóki aktywny jest co najmniej jeden monitor celu. Jeśli wstrzymasz wszystkie, te sprawdzenia również zostaną wstrzymane.

Certyfikat SSL#

Każdy cel, którego adres zaczyna się od https://, jest sprawdzany co 6 godzin. Odczytujemy certyfikat przedstawiany przez stronę i sprawdzamy datę jego wygaśnięcia oraz to, czy przeglądarki mu ufają (łańcuch i nazwa). Cele dodane jako serwer lub port TCP nie mają sprawdzenia SSL.

Co znajdujemy	Alert
Wygasa w ciągu 14 dni	warning: 14 dni przed, 7 dni przed i w dniu wygaśnięcia
Wygasł	critical
Przeglądarki mu nie ufają (samopodpisany, błędna nazwa, przerwany łańcuch)	critical

Alert o certyfikacie wysyłamy od razu, bez pytania drugiej lokalizacji: data w certyfikacie jest taka sama z każdego miejsca.

Certyfikat, który zaraz wygaśnie, dostaje trzy wiadomości i nic pomiędzy: 14 dni przed, 7 dni przed i w dniu wygaśnięcia. Większość certyfikatów odnawia się sama, więc odnowienie przed wygaśnięciem po cichu zamyka ostrzeżenie, bez wiadomości o przywróceniu dla ludzi. Webhooki i tak dostają incident.recovery, aby zgłoszenie otwarte przy ostrzeżeniu mogło zostać zamknięte. Jeśli pierwszy raz zobaczymy certyfikat, gdy zostało mu na przykład pięć dni, dostaniesz jedną wiadomość, a nie dwie. Potwierdzenie przyjęcia ostrzeżenia zatrzymuje kolejne.

Wygasły lub niezaufany certyfikat to co innego: odwiedzający widzą ostrzeżenie przeglądarki. Taki alert jest krytyczny, przypomnienia idą według tego samego harmonogramu co przy awariach (zobacz progi, godziny ciszy i przypomnienia), a wiadomość o przywróceniu dostajesz, gdy tylko sprawdzenie zobaczy naprawiony certyfikat.

Uwaga: Problem z certyfikatem nie liczy się jako przestój: strona nadal odpowiada. Ma własną kolumnę (SSL) na panelu i własną kartę w zakładce Przegląd monitora. Jeśli w ogóle nie możemy się połączyć, jest to awaria i tak też jest wykrywana (zobacz jak wykrywamy awarie).

Wygaśnięcie domeny#

Dla każdego celu z nazwą domeny sprawdzamy, kiedy wygasa rejestracja domeny, co 12 godzin: w usłudze RDAP rejestru, a jeśli jej nie ma – w WHOIS. Odczytujemy tylko datę, nigdy właściciela domeny.

Zapytanie dotyczy zarejestrowanej domeny, a nie subdomeny: www.example.com, api.example.com i example.com:22 mają wspólną rejestrację i pokazują tę samą datę.

Co znajdujemy	Alert
Wygasa w ciągu 30 dni	warning: 30 i 14 dni przed
Wygasa w ciągu 7 dni	critical: 7 dni przed i w dniu wygaśnięcia
Wygasła	critical

Domena, która zaraz wygaśnie, dostaje cztery wiadomości i nic pomiędzy: 30, 14 i 7 dni przed oraz w dniu wygaśnięcia. Jeśli pierwszy raz zobaczymy domenę, gdy zostało jej na przykład dziesięć dni, dostaniesz jedną wiadomość, a nie dwie. Odnowienie przed wygaśnięciem po cichu zamyka incydent, bez wiadomości o przywróceniu dla ludzi (webhooki i tak dostają incident.recovery); potwierdzenie przyjęcia ostrzeżenia zatrzymuje kolejne.

Wygasła domena jest krytyczna, z przypomnieniami według tego samego harmonogramu co przy awariach i z wiadomością o przywróceniu po odnowieniu. Wygaśnięcie domeny nie liczy się jako przestój.

Uwaga: Nieudane zapytanie nigdy nie wywołuje alertu i nigdy nie kasuje znanej nam daty. Rejestry bywają wolne lub niedostępne; ostatnia znana data zostaje, a razem z nią ostrzeżenie.

Ostrzeżenie: Niektóre rejestry nie publikują dat wygaśnięcia: .de, .eu, .at i .ch. Dla nich karta Domena to mówi i pokazuje –, nigdy zielonego znacznika, którego nie możemy poprzeć danymi. Odnowienia tych domen trzeba pilnować u swojego rejestratora.

Cele dodane przez adres IP albo z nazwą bez kropki (localhost) nie mają rejestracji ani sprawdzenia wygaśnięcia domeny.

Historia DNS#

W planie Pro i wyższych co godzinę odczytujemy rekordy DNS celu i przechowujemy historię tego, co się zmieniło i kiedy. Domyślnie śledzimy NS, A i MX (NS i MX samej domeny, A nazwy hosta celu).

Uwaga: Historia DNS nigdy nie wywołuje alertów. Zmieniony rekord to nie awaria, a jeśli zmiana zepsuje stronę, powie o tym sprawdzenie dostępności. Historia służy do odpowiedzi na pytanie „co się zmieniło?”, gdy coś wygląda inaczej.

Śledzenie dodatkowych rekordów#

W zakładce DNS monitora, w sekcji Obserwuj więcej rekordów, dodaj do 10 kolejnych w postaci TYPE lub TYPE:name, na przykład:

• TXT:_dmarc dla DMARC na _dmarc. Twojej nazwy hosta;
• TXT dla SPF i innych rekordów TXT;
• CNAME:www dla www. przed Twoją nazwą hosta;
• AAAA dla adresów IPv6.

Typy, które potrafimy odczytać: A, AAAA, NS, MX, TXT, CNAME i SOA. Nowy rekord odczytujemy od razu.

Jak czytać historię#

Obecne rekordy pokazuje bieżącą wartość każdego rekordu i od kiedy się nie zmieniła. Co się zmieniło wymienia zmiany, od najnowszych, z wartością przed i po. Serwery zwracają rekordy w innej kolejności przy każdym zapytaniu, dlatego przed porównaniem je sortujemy: zmieniona kolejność nigdy nie jest pokazywana jako zmiana. Pierwszy odczyt rekordu to punkt wyjścia, a nie zmiana.

Cele dodane przez adres IP nie mają historii DNS: nie ma nazwy, o którą można zapytać.