Certificaten in je vloot

Er zijn twee beheerdersschermen voor certificaten en ze beantwoorden twee verschillende vragen. Servers → de server → Certificaten toont elk certificaat op één machine. Servers → Certificaten toont wat er binnenkort verloopt of niet uitgegeven kan worden, over alle machines die je mag zien.

Wat een klant zelf ziet van zijn eigen website staat er los van; daarover gaat SSL en certificaten. Beide schermen hier zijn zonder uitzondering voor serverbeheerders, en dat is met opzet: een certificaatlijst op machineniveau is elke huurder op die machine tegelijk.

Het certificaat van de machine zelf staat er ook bij

Op de serverpagina staan niet alleen de websites, maar ook het hostnaam- certificaat van de machine zelf — het certificaat dat Postfix, Dovecot en de FTPS-dienst aan de buitenwereld laten zien. Dat stond vroeger nergens, omdat de oude weergave een rondje langs websites was en een hostnaam geen website is. Precies dat certificaat is het certificaat waar mail op stukloopt als het verloopt.

De volgorde is de ernst, niet de naam

Elke rij krijgt aan de serverkant één woord: onbeveiligd, verlopen, faalt, verloopt binnenkort, onvolledig, of goed. Dezelfde beoordeling voedt de serverpagina, het vlootscherm én het serveradvies, dus die drie kunnen niet tot verschillende conclusies komen over hetzelfde certificaat.

Beide lijsten staan op die ernst gesorteerd, het slechtste bovenaan. Een lijst op alfabet is een lijst die je helemaal moet lezen. Boven de lijst kun je filteren (alles, verloopt binnenkort, probleem, onbeveiligd) en instellen hoe ver vooruit je wilt kijken; het vlootscherm zegt het eerlijk wanneer er meer rijen zijn dan het toont.

Een rij opent, en zegt wat er vanzelf gebeurt

Klik een rij aan en er schuift een paneel open dat is geordend rond één beslissing: indrukken, of laten zitten. Bovenaan staat de status en één zin over wat er zonder jouw toedoen gaat gebeuren — bijvoorbeeld dat de certificaatautoriteit het vernieuwvenster pas over een week opent, of dat deze server het al vier keer tevergeefs probeerde en het opnieuw gaat proberen.

Daaronder staan de pogingen die de server heeft opgeschreven, met de tekst die de autoriteit zelf teruggaf. Sleutels en tokens zijn daaruit gehaald; de rest is letterlijk wat er gezegd is, want een gepolijste samenvatting van een ACME-fout helpt niemand.

Wat de knoppen doen

Op een rij die faalt kun je opnieuw proberen: dat vraagt die ene naam nog eens aan. Op de serverpagina kun je alles wat aan vernieuwing toe is in één keer laten oppakken — dezelfde ronde die 's nachts vanzelf loopt, alleen nu. Beide antwoorden met een taak, want een bestelling bij een certificaatautoriteit is een minuut van andermans werk; je volgt hem in de takencentrale.

Wat je hier niet doet is bulk-aanvragen over de hele vloot. De limieten van de autoriteit zijn echt, en ze raken al je klanten tegelijk als je erdoorheen gaat.

Hoe oud is wat je ziet?

De lijsten komen uit de opgeslagen kopie van het paneel, niet uit een rondje langs alle machines — tweehonderd servers in serie is geen pagina, en parallel is het een stormloop bij elke druk op verversen. Boven de lijst staat daarom wanneer er voor het laatst uitgelezen is, en op de serverpagina zit een knop om díé machine nu opnieuw uit te lezen.

# Wat er op één machine mis is, met de tellingen erbij
curl -sS -H "Authorization: Bearer corecp_<prefix>_<secret>" \
  "https://paneel.voorbeeld.nl/api/v1/nodes/srv1.voorbeeld.nl/ssl?filter=problem"

# De hele vloot, veertien dagen vooruit — elke rij noemt zijn server
curl -sS -H "Authorization: Bearer corecp_<prefix>_<secret>" \
  "https://paneel.voorbeeld.nl/api/v1/ssl?days=14"

Zie ook

• SSL en certificaten — wat je klant van zijn eigen website ziet en zelf kan.
• Het serveradvies lezen — waar de regel over certificaten van een machine naartoe verwijst.
• De vloot in één oogopslag — de teller "certificaten bijna verlopen" en waar hij vandaan komt.
• Achtergrondtaken volgen — waar een vernieuwronde terechtkomt.