Warum automatische Verlängerung nicht reicht
Let's Encrypt und 90 Tage Laufzeit haben die Verlängerung zur Routine gemacht, und genau deshalb schaut niemand mehr hin. Sie scheitert trotzdem regelmäßig: Ein geänderter DNS-Eintrag, eine Firewall, die Port 80 blockiert, ein abgelaufener API-Schlüssel, ein Umzug, bei dem der Cronjob nicht mitkam. Der Fehler liegt dann wochenlang im Log, bis das alte Zertifikat abläuft.
DomainWarn prüft nicht, ob die Verlängerung läuft, sondern was tatsächlich ausgeliefert wird: das Zertifikat, das der Browser sieht, mit Restlaufzeit, Kette und Hostnamen.
Was überwacht wird
- Restlaufzeit: Hinweis 30 Tage vorher, Warnung 14 Tage vorher, kritisch bei Ablauf.
- Kette: fehlende Zwischenzertifikate, die auf dem Entwickler-Rechner funktionieren und auf Android-Geräten scheitern.
- Hostname und alternative Namen: Zertifikat passt nicht zum aufgerufenen Namen.
- Erneuerung: Wechsel des Zertifikats wird als Information gemeldet, damit du weißt, dass die Automatik läuft.
- TLS-Version und Aussteller, inklusive selbstsignierter Zertifikate auf Staging-Systemen.
- Mailserver: SMTP, IMAP und POP3 über STARTTLS oder implizites TLS, deren Ablauf kein Browser meldet.
HTTP-Prüfung inklusive
Neben dem Zertifikat prüft DomainWarn die Website selbst: Antwortet sie, mit welchem Statuscode, wie schnell, bleibt die Weiterleitung von http auf https intakt, ist HSTS gesetzt. Fällt die Seite aus, entsteht ein Incident; kommt sie zurück, genau eine Entwarnung. Kein Server-Agent, keine Installation beim Kunden.
Abgrenzung zu Uptime-Tools
Uptime-Dienste melden ein abgelaufenes Zertifikat, also zu spät. Manche warnen vorher, prüfen aber nur Port 443 und nicht die Kette. DomainWarn ist dafür gebaut, hundert Kundendomains samt Mailservern in einer Übersicht zu halten und die Zertifikate zu erfassen, die sonst niemand im Blick hat: Subdomains, Staging, API, Mail.
Häufige Fragen
- Wie oft wird geprüft?
- Zertifikate alle sechs Stunden, die HTTP-Erreichbarkeit im Intervall des Tarifs: jede Minute im Agency-Tarif, alle fünf Minuten im Freelancer-Tarif.
- Welche Ports werden geprüft?
- Standardmäßig 443. Zusätzlich lassen sich Mailserver auf 25, 465, 587, 143, 993, 110 und 995 überwachen.
- Meldet DomainWarn auch die Erneuerung?
- Ja, als Information: Ein neues Zertifikat mit neuer Seriennummer und neuem Ablaufdatum wird im Daily Digest genannt, ohne Alarm.