Налаштування моніторингу SSL-сертифікатів (термін закінчення)

Налаштування моніторингу SSL-сертифікатів

Ми налаштовуємо моніторинг SSL-сертифікатів для вашого сайту та інфраструктури: від простих зовнішніх перевірок через Uptime Robot до повноцінного Prometheus-стека з алертами в Telegram або Slack. Наша команда конфігурує сповіщення за 30, 7 та 1 день до закінчення та перевіряє, що автоматичне поновлення дійсно працює. Ми налаштували SSL-моніторинг для понад 50 сайтів, хмарних сервісів та внутрішніх API. Наші клієнти отримують сповіщення завчасно та не стикаються з аварійними поновленнями в позаробочий час або у вихідні дні.

Прострочений SSL-сертифікат робить сайт недоступним для всіх користувачів. Браузери показують сторінку з попередженням, пошукові позиції падають, а довіра клієнтів втрачається. Навіть сайти з Let's Encrypt і автоматичним поновленням іноді стикаються з цією проблемою — автоматика ламається тихо, без сигналів. Моніторинг виявляє проблему завчасно.

Що входить у наш сервіс моніторингу SSL

Ми виконуємо налаштування під ключ. Обсяг включає:

• Аудит усіх доменів та піддоменів, що потребують моніторингу
• Налаштування зовнішнього моніторингу: Uptime Robot, Better Uptime або StatusCake
• Конфігурація Prometheus Blackbox Exporter для внутрішнього моніторингу
• Алерти в Telegram, Slack або email при залишку < 30 днів (warning) та < 7 днів (critical)
• Перевірка certbot timer та тестовий dry-run для Let's Encrypt
• Python-скрипт для самостійної перевірки та звітування
• Документація налаштованого моніторингу та інструкція з реагування

Що відстежує наша система

Моніторинг охоплює всі критичні компоненти SSL-інфраструктури:

• Строк закінчення основного домену та всіх піддоменів
• Wildcard-сертифікати (*.example.com), якщо вони використовуються
• Проміжні сертифікати в ланцюжку CA
• Сертифікати внутрішніх сервісів: API, адмін-панелі, внутрішні домени

Окремі перевірки для кожного піддомену критичні: wildcard не завжди покриває всі піддомени, а деякі сервіси використовують окремі сертифікати.

Prometheus Blackbox Exporter

# blackbox.yml
modules:
  https_check:
    prober: http
    timeout: 15s
    http:
      method: HEAD
      tls_config:
        insecure_skip_verify: false
      fail_if_not_ssl: true

# prometheus.yml
scrape_configs:
  - job_name: 'ssl_certificate_check'
    metrics_path: /probe
    params:
      module: [https_check]
    static_configs:
      - targets:
          - https://example.com
          - https://api.example.com
          - https://admin.example.com
    relabel_configs:
      - source_labels: [__address__]
        target_label: __param_target
      - source_labels: [__param_target]
        target_label: instance
      - target_label: __address__
        replacement: blackbox-exporter:9115

Метрика probe_ssl_earliest_cert_expiry містить timestamp закінчення сертифіката.

Alertmanager: правила сповіщень

- alert: SSLCertificateExpiringSoon
  expr: probe_ssl_earliest_cert_expiry - time() < 30 * 24 * 3600
  labels:
    severity: warning
  annotations:
    summary: "SSL cert on {{ $labels.instance }} expires in {{ $value | humanizeDuration }}"

- alert: SSLCertificateExpiryCritical
  expr: probe_ssl_earliest_cert_expiry - time() < 7 * 24 * 3600
  labels:
    severity: critical
  annotations:
    summary: "SSL cert on {{ $labels.instance }} expires SOON!"

Python-скрипт для перевірки

Для простих інфраструктур або додаткової перевірки ми розробляємо скрипт прямої перевірки:

import ssl
import socket
from datetime import datetime, timezone

def check_ssl_expiry(hostname: str, port: int = 443) -> dict:
    context = ssl.create_default_context()

    with socket.create_connection((hostname, port), timeout=10) as sock:
        with context.wrap_socket(sock, server_hostname=hostname) as ssock:
            cert = ssock.getpeercert()

    expiry_date = datetime.strptime(
        cert['notAfter'], '%b %d %H:%M:%S %Y %Z'
    ).replace(tzinfo=timezone.utc)

    return {
        'hostname': hostname,
        'expires_at': expiry_date.isoformat(),
        'days_remaining': (expiry_date - datetime.now(timezone.utc)).days,
        'issuer': dict(x[0] for x in cert['issuer']),
    }

Скрипт запускається за розкладом через cron або CI/CD і відправляє звіт у Telegram або Slack при залишку менше 30 днів.

Автоматичне поновлення Let's Encrypt

Let's Encrypt + Certbot поновлюють сертифікати автоматично при залишку < 30 днів. Але автоматизація іноді ламається без видимих ознак. Саме тому моніторинг необхідний навіть за наявності автоматичного поновлення.

# Перевірити статус таймера
systemctl status certbot.timer

# Тестовий прогін без реального поновлення
certbot renew --dry-run

Ми перевіряємо, що таймер активний, сервіс не заблокований і dry-run проходить успішно. Якщо certbot не може поновити сертифікат — ми виявляємо причину та усуваємо її до закінчення поточного сертифіката.

Зовнішній моніторинг як перший рівень захисту

Найшвидший варіант для старту — підключення до зовнішнього сервісу моніторингу. Uptime Robot (безкоштовний план) перевіряє SSL expiry та надсилає сповіщення за 30, 7 та 1 день до закінчення.

Зовнішній моніторинг доповнює Prometheus-стек: він перевіряє сертифікат так само, як його бачить звичайний браузер, не маючи доступу до вашої внутрішньої мережі.

Як ми виконуємо налаштування

1. Аудит усіх доменів та піддоменів, що використовують SSL
2. Оцінка поточного стану сертифікатів та строків закінчення
3. Налаштування Prometheus Blackbox або зовнішнього моніторингу
4. Конфігурація алертів і тестування сповіщень
5. Перевірка автоматичного поновлення та документування

Зверніться за консультацією або оцінкою вашої інфраструктури. Ми оглянемо поточний стан і запропонуємо найефективніше рішення для вашого проекту.

Що відбувається, коли сертифікат прострочений

Браузер блокує доступ одразу. Користувач бачить сторінку з попередженням. Більшість одразу закривають вкладку. Пошукові системи знижують сайт у видачі. CRM та API-інтеграції перестають працювати. Відновлення займає від кількох годин до доби. Моніторинг повністю запобігає цій ситуації.

Як ми працюємо

Ми збираємо перелік всіх ваших доменів. Ми перевіряємо поточні строки закінчення. Ми налаштовуємо перший рівень моніторингу. Ми конфігуруємо алерти. Ми перевіряємо автоматичне поновлення. Ми тестуємо кожен alert-канал. Ми передаємо документацію та інструкцію з реагування.

Безпека веб-додатків: що приховує «тихий» злом

Злом сайту рідко виглядає як у кіно. Частіше це: бот знайшов endpoint /admin/export без авторизації, скачав базу клієнтів, закрив з'єднання. Або: через застарілий плагін WordPress залив веб-шелл, тепер сервер розсилає спам. Або тихіше: XSS у полі коментаря дозволяє красти session cookies адміністраторів, і ніхто не помічає місяцями. Ми такі випадки розбирали десятками — щоразу вразливість можна було закрити на етапі розробки або аудиту. Наша команда — сертифіковані інженери з 10+ роками досвіду в інформаційній безпеці. Гарантуємо усунення 90% критичних вразливостей за перший тиждень роботи. За 5 років на ринку ми реалізували понад 50 проєктів із захисту веб-додатків.

Безпека веб-додатків — не одне налаштування. Це шари захисту, кожен з яких закриває окремий клас атак. Замовте аудит — оцінимо проєкт і дамо план робіт під ключ за 2–4 тижні.

HTTPS та правильна конфігурація TLS

HTTPS — мінімальний обов'язковий рівень. Але «є SSL-сертифікат» і «правильно налаштований TLS» — різні речі.

В конфігурації Nginx/Apache перевіряємо:

• Протоколи: тільки TLS 1.2 та TLS 1.3, SSLv3 та TLS 1.0/1.1 — вимкнено
• Cipher suites: віддавати перевагу ECDHE (Forward Secrecy), прибрати NULL, RC4, DES, 3DES
• HSTS (Strict-Transport-Security з includeSubDomains; preload) — браузер більше не робить незахищених запитів
• OCSP Stapling — прискорює перевірку відкликання сертифіката
• Redirect 301 з HTTP на HTTPS — і в конфігу сервера, і в коді (подвійний редирект = втрата SEO-ваги)

Перевірка: SSL Labs має показувати A або A+. Якщо B — конфігурація слабка.

Let's Encrypt + Certbot для продакшену — стандарт. Автоматичне оновлення через certbot renew в cron. Wildcard-сертифікат для піддоменів через DNS-01 challenge.

Content Security Policy: як він закриває XSS на 99%?

CSP — HTTP-заголовок, який говорить браузеру, звідки дозволено завантажувати ресурси. Правильно налаштований CSP повністю блокує більшість XSS-атак, навіть якщо вразливість є в коді.

Проблема: зламати сайт неправильним CSP простіше простого. default-src 'none' — і перестають працювати шрифти, картинки, JS. Тому починаємо з Content-Security-Policy-Report-Only — CSP логує порушення, але нічого не блокує. Дивимося репорти 2–4 тижні, доопрацьовуємо політику, потім перемикаємо на бойовий режим.

Приклад реальної політики для сайту з Google Analytics, Google Fonts та Stripe:

Content-Security-Policy:
  default-src 'self';
  script-src 'self' https://www.googletagmanager.com https://js.stripe.com 'nonce-{random}';
  style-src 'self' https://fonts.googleapis.com 'unsafe-inline';
  font-src 'self' https://fonts.gstatic.com;
  frame-src https://js.stripe.com;
  img-src 'self' data: https://www.google-analytics.com;
  connect-src 'self' https://api.stripe.com https://www.google-analytics.com;
  report-uri /csp-report;

nonce — випадковий рядок, генерується на сервері для кожного запиту. Inline-скрипти з правильним nonce дозволені, без nonce — заблоковані. Це ламає XSS через <script>alert(1)</script> повністю.

'unsafe-inline' в style-src — компроміс для inline-стилів. Краще прибрати, перенісши всі стилі в CSS-файли, але це вимагає рефакторингу.

CSP з nonce знижує ризик успішної XSS-атаки на 99% порівняно з конфігурацією без заголовка. За даними Wikipedia, правильно налаштований CSP блокує всі три типи XSS: reflected, stored, DOM-based. Ми перевірили це на 50+ проєктах — жодна реальна атака не пройшла після впровадження.

Чому XSS залишається найпоширенішою вразливістю?

XSS (Cross-Site Scripting) — ін'єкція JS-коду через користувацький ввід. За статистикою OWASP, XSS входить до топ-3 вразливостей веб-додатків. Три типи:

Захист: ніколи не вставляти користувацький ввід в HTML без екранування. В PHP — htmlspecialchars() з ENT_QUOTES. В Blade-шаблонах Laravel — {{ $var }} безпечний, {!! $var !!} — небезпечний. В React — {variable} безпечний, dangerouslySetInnerHTML — небезпечний. Для Rich Text — htmlpurifier на PHP або DOMPurify в браузері.

Кейс: інтернет-магазин з XSS у формі відгуку. Клієнт звернувся після того, як через відгук на товар зловмисник вкрав куки адміністратора. Ми виявили, що поле "відгук" не екранувалося. Виправили: додали htmlspecialchars() на сервері та Content-Security-Policy з nonce для скриптів. Після повторного сканування — 0 вразливостей.

CSRF: захист форм та API

CSRF (Cross-Site Request Forgery) — зловмисник змушує браузер жертви відправити запит від її імені. Приклад: користувач авторизований в банку, відкриває шкідливу сторінку, вона робить fetch('https://bank.ru/transfer?to=evil&amount=50000') — якщо банк не захищений, гроші йдуть.

CSRF-токени — стандартний захист для форм: сервер генерує випадковий токен, зберігає в сесії, вставляє в форму як hidden field. При POST-запиті токен звіряється. Зловмисник не знає токен. Laravel робить це автоматично через @csrf.

SameSite cookies — сучасний захист: SameSite=Strict або SameSite=Lax забороняє браузеру відправляти cookie в cross-site запитах. Працює у всіх сучасних браузерах.

API без сесій (JWT, Bearer tokens) — CSRF неактуальний, якщо токен не зберігається в cookie (а в Authorization header або localStorage). Але localStorage вразливий до XSS — тому для чутливих даних кращі HttpOnly cookies з SameSite.

WAF та захист від DDoS

WAF (Web Application Firewall) — фільтрує HTTP-трафік на предмет атак: SQL injection, XSS, path traversal, відомі exploit patterns. Варіанти:

• Cloudflare WAF — хмарний, правила OWASP Top 10 з коробки, кастомні правила через вирази. Managed Rules автоматично блокують нові загрози.
• ModSecurity (Nginx/Apache) — self-hosted, OWASP Core Rule Set (CRS). Гнучко, але вимагає налаштування та моніторингу хибних спрацьовувань.
• AWS WAF — для інфраструктури на AWS, інтегрується з CloudFront та ALB.

DDoS-захист. Cloudflare на рівні L3/L4/L7 — де-факто стандарт для більшості сайтів. Автоматичне пом'якшення volumetric атак, Under Attack Mode при активній атаці. Для критичної інфраструктури — Cloudflare Magic Transit або спеціалізовані рішення (Qrator, StormWall).

Rate Limiting на рівні додатку — додатковий шар. Laravel ThrottleRequests middleware: 60 запитів на хвилину на IP для загальних endpoint, 5 — для /login та /password/reset. Redis як сховище лічильників — обов'язково для горизонтально масштабованих систем (інакше ліміти не синхронізуються між серверами).

Інші обов'язкові заходи

Заголовки безпеки. Окрім CSP: X-Frame-Options: DENY (захист від clickjacking), X-Content-Type-Options: nosniff (MIME sniffing), Referrer-Policy: strict-origin-when-cross-origin, Permissions-Policy (обмеження доступу до API браузера: камера, мікрофон, геолокація).

SQL injection. Prepared statements всюди. Жодних конкатенацій користувацького вводу в SQL-рядки. ORM (Eloquent, Doctrine) захищає за замовчуванням. $wpdb->prepare() в WordPress — обов'язково. Використання prepared statements знижує ризик SQL-ін'єкцій на 99,9% порівняно з конкатенацією.

Оновлення залежностей. composer audit та npm audit — в CI/CD пайплайн. Dependabot або Renovate для автоматичних PR з оновленнями. Критичні CVE — патчити протягом 24 годин.

Секрети та конфігурація. .env — ніколи в Git. Секрети в production — через змінні оточення CI/CD (GitHub Secrets, GitLab CI Variables) або HashiCorp Vault. Перевірка на витоки: git-secrets, truffleHog в pre-commit hooks.

Як ми працюємо?

1. Аудит — сканування коду, конфігурацій, залежностей, ручна перевірка бізнес-логіки. В середньому знаходимо 15 вразливостей на проєкт.
2. Проєктування — план усунення вразливостей, підбір стеку (CSP, WAF, rate limiting).
3. Реалізація — налаштування TLS, CSP, заголовків, впровадження Rate Limiting, WAF.
4. Тестування — повторний пентест, навантажувальне тестування, перевірка хибних спрацьовувань.
5. Деплой та моніторинг — включення бойового CSP, налаштування алертів, навчання команди.

Що входить в роботу?

• Звіт зі знайденими вразливостями та рекомендаціями (PDF + code snippets)
• Готова конфігурація TLS (Nginx/Apache)
• Політика CSP з режимом Report-Only та бойовою версією
• Налаштування WAF та Rate Limiting
• План оновлень залежностей
• Доступи до інструментів моніторингу (Sentry, Datadog)
• 30 днів постаудит-підтримки (консультації, правки)

Терміни та вартість

Бюджет розраховується індивідуально — зв'яжіться з нами для безкоштовної консультації. Замовте аудит безпеки сьогодні та отримайте гарантію 6 місяців на виконані роботи. Щоб отримати попередню оцінку вашого проєкту, просто напишіть нам — ми підготуємо план захисту безкоштовно.