W świecie, w którym certyfikaty SSL wygasają coraz szybciej, a automatyzacja to już nie luksus, lecz konieczność – monitorowanie stanu certyfikatów Let’s Encrypt staje się kluczowe dla każdej organizacji. Choć może się wydawać, że do tak prostej funkcji wystarczy zwykły skrypt, to warto postawić na bardziej rozbudowane narzędzie, jakim jest Checkmk. To w pełni funkcjonalne, łatwe w konfiguracji i darmowe w podstawowej wersji rozwiązanie, które pozwoli nie tylko na śledzenie stanu certyfikatów, ale także kondycji całej infrastruktury.
Najważniejsze wnioski
-
Checkmk oferuje szybkie monitorowanie certyfikatów Let’s Encrypt bez potrzeby instalowania agenta na każdej maszynie.
-
Możliwość zautomatyzowanej konfiguracji i precyzyjnego alertowania na e-mail przy zbliżającym się terminie wygaśnięcia certyfikatu.
-
Checkmk można uruchomić na małej maszynie VPS lub lokalnie – nawet jako aplikację boczną na NAS.
-
Dzięki systemowi reguł i folderów użytkownicy mogą centralnie zarządzać wszystkimi certyfikatami i hostami z jednej konsoli.
-
System pozwala uniknąć fałszywych alarmów poprzez zastosowanie miękkich i twardych stanów (soft/hard states).
Spis treści
-
Dlaczego warto monitorować certyfikaty Let’s Encrypt?
-
Czym jest Checkmk i którą edycję wybrać?
-
Instalacja Checkmk krok po kroku
-
Tworzenie monitoringu certyfikatów – foldery, hosty i reguły
-
Powiadomienia e-mail i testowanie alertów
-
Optymalizacja i unikanie fałszywych alarmów
-
Dodatkowe opcje – check_httpv2 i wiele nazw hostów
-
Co przyniesie przyszłość certyfikatów SSL?
-
Podsumowanie
Dlaczego warto monitorować certyfikaty Let’s Encrypt?
Certyfikaty SSL są dziś fundamentem bezpieczeństwa w internecie. Jednak Let’s Encrypt działa inaczej niż tradycyjni wystawcy – ich certyfikaty są ważne zaledwie 90 dni. Przy automatyzacji odnawiania, każde niepowodzenie może skutkować brakiem dostępu do strony. Monitorując certyfikaty, możemy zawczasu wykryć awarię i uniknąć przestoju lub wizerunkowego kryzysu.
Czym jest Checkmk i którą edycję wybrać?
Checkmk to rozbudowane narzędzie monitorujące dostępne w dwóch wersjach:
-
Checkmk Raw – darmowa wersja open source, idealna dla technicznych użytkowników.
-
Checkmk Cloud – wersja komercyjna z ulepszoną wydajnością i łatwiejszą konfiguracją alertów e-mail.
Dla większości użytkowników wersja Cloud będzie wygodniejsza – po 30 dniach przechodzi automatycznie w darmowy tryb przy mniej niż 750 monitorowanych usługach.
Instalacja Checkmk krok po kroku
Wystarczy pobrać paczkę .deb dopasowaną do twojej dystrybucji Linux, zaktualizować pakiety i zainstalować Checkmk. System oparty jest o „sites”, czyli instancje monitoringu – pozwalają one na bezpieczne testowanie bez ryzyka uszkodzenia całej konfiguracji.
Tworzenie pierwszej strony:
Po instalacji, z poziomu przeglądarki możesz już zalogować się jako cmkadmin.
Tworzenie monitoringu certyfikatów – foldery, hosty i reguły
Zacznij od utworzenia folderu np. „letsencrypt”, w którym umieścisz hosty monitorowane wyłącznie przez aktywne sprawdzenia (czyli bez instalacji agenta). Hosty możesz dodać ręcznie lub zaimportować przez CSV (nawet przez wklejenie nazw hostów).
Po dodaniu hostów, w zakładce Setup > Rules utwórz nową regułę „Check certificates”. Ustal np. 22 dni jako próg ostrzeżenia i przypisz regułę do folderu letsencrypt. W ciągu kilku minut system sprawdzi ważność każdego certyfikatu SSL dla dodanych hostów.
Powiadomienia e-mail i testowanie alertów
Dobrze skonfigurowane powiadomienia to podstawa efektywnego monitoringu. Wersja Raw wymaga konfiguracji MTA (np. Nullmailer), natomiast Checkmk Cloud pozwala wysyłać powiadomienia bezpośrednio przez smarthost. Możesz przypisać adres e-mail do użytkownika w grupie Everything i testować działanie alertów za pomocą funkcji „Test notifications”.
Optymalizacja i unikanie fałszywych alarmów
Aby uniknąć zalewu e-maili przy chwilowym pogorszeniu stanu usługi, możesz ustawić miękkie i twarde stany (np. trzy próby sprawdzenia przed wysłaniem powiadomienia). Dzięki temu system zachowuje czujność bez przesady.
Dodatkowe opcje – check_httpv2 i wiele nazw hostów
Podstawowe sprawdzenie certyfikatu wykonuje tylko handshake SSL. Jeśli chcesz sprawdzić więcej (np. kody odpowiedzi HTTP, przekierowania, treść strony), wykorzystaj check_httpv2.
W przypadku certyfikatów zawierających wiele alternatywnych nazw (SAN), należy utworzyć osobny host dla każdej domeny i dodać je wszystkie do folderu letsencrypt.
Co przyniesie przyszłość certyfikatów SSL?
Do 2029 roku przeglądarki będą akceptować certyfikaty z maksymalnym okresem ważności 47 dni. Już od marca 2025 roku limit to 100 dni, a Let’s Encrypt planuje wydawać certyfikaty na 6 dni. To oznacza: tylko sprawny monitoring i automatyzacja uratują twój uptime.
Podsumowanie
Wdrożenie monitoringu certyfikatów SSL z Checkmk to inwestycja, która szybko się zwróci. Oprócz monitorowania Let’s Encrypt, narzędzie to umożliwia też analizę wydajności, zużycia dysku, kondycji sprzętu czy działania baz danych.
Nie czekaj, aż twój certyfikat wygaśnie. Skontaktuj się z nami i poznaj rozwiązania CheckMK!
