証明書の自動更新が止まっていたときの直し方

レン

自動更新にしてあったのに、証明書の期限が切れてた…！

プロクラ

これは実際によくある事故だよ。設定した直後は動いていても、途中で止まることがある。しかも止まったことは通知されないから、切れて初めて気づくんだ。

まず期限を切らさない対処

プロクラ

原因を調べる前に、まず更新を通そう。手動で更新すれば、サイトはすぐ元に戻る。原因の調査はそのあとでいい。

• 更新のコマンドを手で実行し、通るかどうかを見る
• 通ったら、Webサーバーを再読み込みして新しい証明書を反映させる
• 通らなければ、エラーの文言に原因が書かれている

止まる原因は4つに絞れる

• 更新時の確認が通らない：ドメインの向き先を変えた、Webサーバーの設定を書き換えた
• 通信が塞がっている：ファイアウォールを絞ったときに、確認に使うポートまで閉じた
• 定期実行が動いていない：サーバーを移行して設定が引き継がれなかった
• ディスクが満杯：書き込めず、更新が失敗し続けていた

プロクラ

3つめが移行のときの定番だよ。新しいサーバーで証明書は取得したけれど、自動更新の定期実行までは引き継いでいなかった、という形。取得と更新は別の設定なので、両方を確かめる必要がある。

プロクラ

4つめも見落とされやすい。ディスクが満杯になると、更新に限らずいろいろなものが静かに失敗する。証明書の更新が止まっていたら、空き容量も一緒に見ておこう。

切れる前に気づく

証明書の更新は、止まっていても普段は何の音も立てません。期限が来た瞬間に、全員へ警告が出るという形で一斉に表面化します。期限の数日前に通知が届く仕組みを入れておくか、更新の記録を月に一度見る習慣にしてください。

プロクラ

根本の対策は、止まったことに気づける状態を作ることだよ。証明書の期限は決まっているので、事前に知る手段はいくつもある。

• 証明書の発行元からの期限通知メールを、受け取れる状態にしておく
• 更新の試行結果をログに残し、失敗したら気づけるようにする
• 外部の監視サービスで、期限が近いことを知らせてもらう
• 最初の更新時期に一度だけ、実際に更新されたかを目視で確認する

プロクラ

最後のが手軽で効果的だね。設定した直後ではなく、初回の更新が来る時期に一度だけ見る。そこを越えれば、あとは安定して回ることが多いよ。

更新を試す練習

• 多くのツールに、実際には更新せず手順だけ試す機能がある
• これを実行しておけば、本番の更新が通るかを事前に確認できる
• 設定を変えたときは、その都度これを流す習慣にするとよい
• ファイアウォールを絞った直後は、特に確認しておきたい

レン

取得と更新は別。移行のときは両方を確かめる。まず一度、試しに流してみる。

期限が切れてしまった後の影響

プロクラ

証明書が切れると、サイトが見えなくなるだけでは済まないんだ。連動して止まるものがあるので、復旧したら一通り確認しておこう。

• 訪問者に警告画面が出る。多くはそこで引き返す
• APIを提供している場合、それを呼んでいる側の処理も失敗する
• 外部サービスからの通知（Webhook等）が届かなくなる
• 検索エンジンのクロールにも影響しうる

プロクラ

復旧後は、サイトが見えることだけでなく、外部と繋がる部分が戻っているかも確かめよう。止まっていた間の通知は再送されないことが多いからね。