Sorveglia Dominio e SSL

Domain & SSL Watch verifica due scadenze che spesso vengono dimenticate finché non è tardi: la validità del certificato SSL che rende il sito raggiungibile in https e la data di scadenza della registrazione del dominio ricavata dai dati whois pubblici. Controlla inoltre che il certificato servito sia valido per il dominio, non presenti errori di catena e non sia stato revocato dall’ente che lo ha emesso: la revoca si legge nella lista pubblica dei certificati annullati (CRL) indicata dal certificato stesso. Il monitor esegue solo verifiche di lettura: non invia mai moduli, non rinnova nulla e non effettua acquisti né prenotazioni.

È la riga che non trovi altrove, e spesso serve più della data. Un certificato emesso per 90 giorni o meno non lo compra nessuno a mano: lo rifà da solo un programma sul tuo server (certbot, acme.sh o il pannello dell’hosting), di solito quando mancano 30 giorni. Un certificato da un anno, invece, si è comprato — e va ricomprato, da te o dal tuo provider. Dalla durata e dall’emittente scritti sul certificato ti diciamo in quale dei due casi sei, e quindi se devi fare qualcosa oppure no.

Il caso che conta davvero è il terzo: un certificato automatico ancora valido che però doveva già essersi rinnovato. Se un Let’s Encrypt da 90 giorni ne ha 12 davanti, per un controllo di sola scadenza va tutto bene — ma il rinnovo automatico è in ritardo di 18 giorni, cioè si è inceppato, e fra meno di due settimane il sito si spegne. Questa diagnosi la trovi nella prova qui sopra e sulla riga del monitoraggio nella tua area, a ogni controllo: oggi non è ancora una email a parte — per posta ricevi gli avvisi di scadenza a 30, 14, 7, 3 e 1 giorno. Dice anche dove guardare: rinnovare a mano quella volta non basta, perché il mese dopo succede di nuovo.

Il modulo qui sopra funziona anche se non sei registrato: scrivi il dominio e in un paio di secondi leggi le quattro righe vere del tuo sito — le stesse identiche che chi attiva il monitoraggio si ritrova nella sua area a ogni controllo. Nessuna carta, nessun credito, nessun dato da lasciare. Puoi farlo per 6 domini all’ora e 20 al giorno: il limite serve a non pesare sui registri pubblici che interroghiamo, non a spingerti a registrarti.

Quello che la prova non fa è rifarla domani. È una fotografia di adesso: se il certificato scade fra 80 giorni, l’avviso che ti serve arriva fra 50, e a ricordarsene deve essere qualcuno. Il monitoraggio è esattamente quel qualcuno.

Titolari di siti che gestiscono da soli dominio e hosting, agenzie e sviluppatori che amministrano decine di domini di clienti, aziende in cui il rinnovo del dominio dipende da una singola casella email che nessuno controlla.

• Inserisci il dominio da tenere sotto controllo.
• Il primo controllo legge certificato SSL e dati pubblici di registrazione.
• I controlli periodici verificano validità e date di scadenza.
• Ricevi avvisi in anticipo rispetto a ogni scadenza e un avviso immediato se il certificato risulta non valido.

Un dominio o un URL https pubblico. La scadenza della registrazione la leggiamo dal registro: sui domini .it dal whois di Registro.it, sulle estensioni internazionali più comuni (.com, .net, .org, .store e le altre raggiungibili via RDAP) dal registro corrispondente. Restano estensioni il cui registro non pubblica affatto quella data — il .eu è una di queste: lì viene monitorato solo il certificato, e la riga nella tua area lo dice.

Avvisi via email scaglionati prima delle scadenze, con la data esatta e i giorni rimanenti, più un avviso immediato in caso di certificato scaduto, revocato o non corrispondente al dominio. Il resto del tempo, silenzio: nessun avviso significa che è tutto in ordine, a patto che il monitoraggio nella tua area non segnali controlli non riusciti. E il silenzio non è tutto quello che ricevi: nella tua dashboard, sotto il monitoraggio, trovi sempre lo stato letto all’ultimo controllo — validità e data di scadenza del certificato, chi lo rinnova, esito della verifica di revoca, scadenza della registrazione del dominio — con l’ora in cui l’abbiamo letto. Anche nei giorni in cui non c’è niente da segnalare, così sai che stiamo guardando davvero. Quando un dato non è verificabile, lì c’è scritto perché.

La data di scadenza del dominio dipende da ciò che il registro pubblica: per alcune estensioni il dato non è disponibile, e viene indicato come non verificabile. C’è poi un caso in cui il ritardo è la regola, e riguarda anche i .it: quando il registro rinnova un dominio d’ufficio (autoRenewPeriod) continua a pubblicare per qualche settimana la data del periodo appena concluso. In quelle settimane non ti diciamo che il dominio è scaduto — non lo è — e non ti inventiamo la data nuova: nella tua area trovi scritto che il rinnovo è in corso, con la data che il registro pubblica ancora, e riprendiamo a sorvegliare la scadenza appena quella nuova compare. L’estensione non è però l’unica ragione per cui quel dato può mancare, e la riga nella tua area dice sempre quale delle tre: se il servizio pubblico che consultiamo non risponde a un controllo lo scriviamo lì, non è un limite della tua estensione e al controllo successivo riproviamo; e se è il registro a rispondere che quel dominio non risulta registrato, trovi scritto anche quello, perché quasi sempre è un refuso nell’indirizzo. Il monitor avvisa ma non rinnova: il rinnovo di dominio e certificato resta un’azione tua o del tuo provider. Domini con whois schermato da privacy possono limitare le informazioni leggibili. Il controllo della revoca dipende dalla lista pubblica (CRL) che l’ente emittente indica nel certificato: quando quella lista non viene pubblicata, o non è raggiungibile, la revoca viene indicata come non verificabile invece di essere data per esclusa. Nel dubbio non inventiamo un allarme: segnaliamo un certificato come revocato solo quando il suo numero di serie compare davvero nella lista.

Quando un controllo non riesce del tutto — il sito non risponde, il dominio non si risolve, la connessione va in timeout — non ti avvisiamo al primo colpo: aspettiamo tre controlli consecutivi non riusciti, per non svegliarti per un’interruzione di pochi minuti. Fa eccezione un caso solo: se già il primo controllo ci dice che quell’indirizzo non esiste, non è pubblico o il suo dominio non si risolve, e da noi non ha mai funzionato, te lo scriviamo subito. Non è un’interruzione passeggera da confermare, è quasi sempre un refuso nell’indirizzo — e aspettare il terzo controllo su frequenza settimanale vorrebbe dire dirtelo tre settimane dopo, con una sorveglianza che non è mai partita. In quel caso l’avviso non parla di una pagina «scomparsa»: ti dice che non l’abbiamo mai letta e ti manda a rileggere l’indirizzo. Nel frattempo il silenzio non significa «è tutto a posto», e non ti lasciamo dedurlo: nella tua area, sulla riga del monitoraggio, trovi scritto che cosa non ha funzionato, quanti controlli consecutivi non sono riusciti e la data dell’ultimo controllo riuscito — cioè fino a quando il silenzio valeva davvero come buona notizia.

Per email ti mandiamo al massimo 20 avvisi all’ora. Se in un’ora ne maturano di più — capita a chi tiene attivi molti monitoraggi con controllo frequente — gli altri non te li mandiamo in posta, ma li registriamo tutti nel tuo storico, ognuno con la sua data e ora, e te lo diciamo con un avviso apposta: per quell’ora il silenzio della posta non significa «niente di nuovo».

Conserviamo il dominio indicato e ciò che l’ultimo controllo ha letto: validità e data di scadenza del certificato, chi lo ha emesso e da quando è valido (sono i due dati da cui ricaviamo la riga sul rinnovo), l’esito della verifica di revoca e la scadenza della registrazione del dominio, con l’ora della lettura. Sono gli stessi dati che ti rimostriamo nella tua area nei giorni in cui non c’è niente da segnalare: senza di essi quella riga non esisterebbe. Vivono nel monitoraggio: quando lo cancelli se ne vanno con lui. Le risposte dei server non le conserviamo oltre il controllo, e niente di tutto questo viene mai usato per addestrare modelli.

Con quanto anticipo arrivano gli avvisi?

A 30, 14, 7, 3 e 1 giorno dalla scadenza: cinque avvisi distinti, sia per il certificato sia per la registrazione del dominio, così una singola email persa non fa saltare il rinnovo. Se il certificato diventa non valido — scaduto, revocato o intestato a un altro dominio — l’avviso parte subito, senza aspettare la soglia successiva.

Quanto costa, e quanti domini posso tenere sotto controllo?

Oggi è gratis in beta: nessuna carta e nessun credito. Con un account gratuito tieni attivi fino a 25 monitoraggi insieme, contati con gli altri monitoraggi e radar del tuo account, e i domini si aggiungono uno per volta. Se per lavoro ne segui di più, scrivici prima di cominciare: preferiamo dirtelo adesso che fartelo scoprire al ventiseiesimo.

Potete rinnovare il certificato o il dominio per me?

No. Il servizio osserva e avvisa: il rinnovo va fatto presso il tuo registrar o provider. Nessuna operazione di acquisto viene mai effettuata in automatico.

Rileva anche un certificato configurato male?

Sì: certificato scaduto, non corrispondente al dominio o con catena incompleta generano un avviso immediato, perché per i visitatori il sito appare come non sicuro.