Wygasł certyfikat i nikt tego nie zauważył

Wygasły certyfikat SSL jest szczególnym rodzajem awarii, bo nie zapala żadnej lampki. Serwer działa, aplikacja odpowiada, baza stoi, panel hostingu pokazuje zielone kropki. Zmienia się tylko jedna rzecz: przeglądarka każdego odwiedzającego wyświetla pełnoekranowe ostrzeżenie „Połączenie nie jest prywatne" i trzeba świadomie kliknąć przez kilka ekranów, żeby zobaczyć stronę. W praktyce nikt tego nie robi.

Widziałem niedawno publiczny serwis, przez który przedsiębiorcy składali wnioski, działający w takim stanie przez ponad dwa tygodnie. Nikt po stronie właściciela o tym nie wiedział, bo nikt tego nie sprawdzał — a odwiedzający po prostu zamykali kartę. Nie podaję nazwy, bo mechanizm jest wszędzie ten sam i za chwilę stanie się częstszy.

Dlaczego automat przestaje działać po cichu

Certyfikaty Let’s Encrypt są ważne 90 dni i odnawiają się automatycznie. To rozwiązanie, które działa świetnie i właśnie dlatego usypia czujność: skoro odnawia się samo, nie ma czego pilnować. Problem polega na tym, że automat jest mechanizmem na serwerze, a mechanizmy na serwerach przestają działać z bardzo prozaicznych powodów.

• Zmiana konfiguracji serwera WWW po aktualizacji, po której zadanie odnawiające nie ma już dostępu do katalogu weryfikacyjnego.
• Migracja na inny hosting, przy której przenoszą się pliki i baza, ale nie zadania cykliczne.
• Wygaśnięcie lub zmiana danych dostępowych do API dostawcy DNS, jeśli weryfikacja odbywa się przez wpis DNS.
• Reguła zapory albo przekierowanie HTTP na HTTPS, które blokuje ścieżkę weryfikacyjną urzędu certyfikacji.
• Wyłączony cron, przepełniony dysk albo zwykły brak miejsca na zapis nowego certyfikatu.

Co dokładnie widzi Twój klient

Warto zobaczyć to raz z drugiej strony, bo różnica między „strona nie działa" a tym, co dzieje się faktycznie, jest istotna dla oceny szkody.

Ta druga kolumna jest kosztowna także wtedy, gdy nikt niczego nie kupował. Ostrzeżenie o braku prywatności czyta się jako sygnał, że coś jest nie tak z firmą, a nie z konfiguracją serwera. Przy stronie, która zbiera dane osobowe przez formularz, dochodzi jeszcze pytanie, na które trzeba umieć odpowiedzieć: czy przez ten czas dane były przesyłane bezpiecznie.

Od marca 2026 zasady się zmieniły

To jest część, o której większość firm jeszcze nie wie, a która przesądza, dlaczego ręczne pilnowanie terminów przestaje być realną strategią. CA/Browser Forum, czyli organizacja zrzeszająca urzędy certyfikacji i twórców przeglądarek, przyjęła 11 kwietnia 2025 roku uchwałę SC-081v3, która stopniowo skraca maksymalny okres ważności certyfikatów TLS.

Równolegle skraca się okres, przez który można ponownie wykorzystać dane walidacyjne domeny: z 398 dni do 200 od marca 2026, do 100 od marca 2027 i do 10 dni od marca 2029. W praktyce oznacza to, że nie tylko sam certyfikat trzeba wymieniać częściej, ale też częściej potwierdzać, że domena wciąż należy do Ciebie.

Co monitorować, żeby to się nie powtórzyło

Kluczowe rozróżnienie brzmi: monitoring dostępności odpowiada na pytanie „czy to działa teraz", a monitoring terminów na pytanie „co przestanie działać za dwa tygodnie". Potrzebne są oba, ale prawie nikt nie ma tego drugiego.

1. Data ważności certyfikatu, sprawdzana codziennie, z alertem na 30, 14 i 7 dni przed. Trzy progi, nie jeden, bo pierwszy alert zwykle ktoś przeoczy.
2. Wynik samego odnowienia, a nie tylko fakt jego uruchomienia. Zadanie może się wykonać i zakończyć błędem — liczy się data ważności certyfikatu, który faktycznie serwuje serwer.
3. Data wygaśnięcia domeny, osobno od certyfikatu. Domena wygasa raz w roku, nie odnawia się sama i potrafi zniknąć razem z pocztą firmową.
4. Wszystkie subdomeny i serwisy projektowe, nie tylko strona główna. Awarie zaczynają się tam, gdzie ktoś kiedyś postawił coś na boku i o tym zapomniał.
5. Treść odpowiedzi, nie tylko kod HTTP. Strona potrafi zwracać poprawne 200 i jednocześnie wyświetlać komunikat błędu aplikacji.

Kopia zapasowa, której nikt nigdy nie odtworzył, nie jest kopią zapasową. Alert, którego nikt nigdy nie dostał, nie jest monitoringiem.

Sprawdzenie własnej sytuacji zajmuje minutę i nie wymaga żadnego narzędzia. Wejdź na swoją stronę, kliknij kłódkę w pasku adresu i zobacz datę ważności certyfikatu. Jeśli jest bliżej niż za miesiąc, a nie wiesz, kto i czym go odnawia, to jest dokładnie ta sytuacja, o której jest ten tekst.

FAQ — najczęstsze pytania