Vlákno názorů k článku Let's Encrypt zjednoduší práci s DNS, bude stačit přidat záznam jen jednou od thekarinka - V článku je to lehce nakousnuté... Máte někdo...

V článku je to lehce nakousnuté... Máte někdo nějaký tip, jak pohodlně monitorovat stav a platnost certifikátů, když se člověk stará o více různých domén?

Že by nejaký jednoduchý script s curl a openssl?

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName

Treba takto, zbytek si uz můžete zaobalit jak chcete

Standardní check_http (z Nagios-plugins, používá ho třeba icinga) má na tohle explicitní volbu.
https://nagios-plugins.org/doc/man/check_http.html

-C, --certificate=IN­TEGER[,INTEGER]
Minimum number of days a certificate has to be valid. Port defaults to 443
(When this option is used the URL is not checked by default. You can use
--continue-after-certificate to override this behavior)
--continue-after-certificate
Allows the HTTP check to continue after performing the certificate check.
Does nothing unless -C is used.

4. 12. 2025, 15:04 editováno autorem komentáře

jj, to jsou ty zkusenosti, certifikatu se totiz dozaduji vyhradne webovy servery, a vsechny jsou vzdy dostupny z jednoho mista, zcela verejne ....

A kazdej jeden ma svyho vyhradniho admina, kterej 24/7 vartuje, jestli se ten kram vcas obnovil, protoze za hodinu uz bude expirovanej ....

A ono je takový problém si (klidně na tu samou icingu) jako zapnout nějakej nginx na localhostu, a do něj ten automat, co to provisionuje certy na ne-webový věci nechat provisionovat paralelně i do něj. Navíc ta icinga vůbec nemusí bejt ani venku, že ano.

A k tomu vartování, Vy tam nemáte nějakej ten NOC (v tomhle případě klidně i indiánskej, i když je to jinak obvykle o nervy), kterej u toho těch 24/7 sedí aby nemusel drahej admin vartovat, a když někde něco zčervená, tak probudí příslušného admina, a mluvíte o zkušenostech z praxe?

24/7 NOC nema odhaduji 80% + firem. Zejmena SMB bude mit 1 admina nebo klasicky pripad je i podstav.

Zabbix tohle umí - lze vytáhnout počet zbývajících dnů do konce platnosti certifikátu a udělat trigger pokud klesne pod zadanou mez.

A ted si promyslete, jak se to bude chovat, kdyz zivostnost bude 45 dni. My mame u nasich 1 letych prvni uroven triggeru nastaveno na 1 mesic.

Tak ten trigger bude treba tyden predem. Porad spousta casu na to problem vyresit, pokud obmena neprobehne automaticky. Nebo nekdo potrebuje mesic na to, aby opravil rozbite obnovovani certifikatu? :-)