BlackboxSslExpiresCritical: что делать при алерте

Правило алерта

alert: BlackboxSslExpiresCritical
expr: (probe_ssl_earliest_cert_expiry{job=~"blackbox.*"} - time()) / 86400 < 3
and probe_ssl_earliest_cert_expiry{job=~"blackbox.*"} > 0
for: 10m
severity: critical

Сообщение алерта: SSL-сертификат {{ $labels.instance }} истекает менее чем через 3 дня

Что значит

До окончания сертификата осталось меньше 3 дней или он уже просрочен. Пользователи скоро увидят ошибку в браузере, а API-клиенты начнут отказываться от соединения.

Частые причины

Те же, что у BlackboxSslExpiresSoon, но продление не выполнено вовремя. Также веб-сервер мог не перечитать обновлённый сертификат.

Диагностика

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -enddate
ls -l /etc/letsencrypt/live/<домен>/ 2>/dev/null
nginx -t && systemctl status nginx --no-pager

Если файл на диске новый, а сервер отдаёт старый, сервер не перезагружали.

Как исправить

Немедленно продлить или выпустить сертификат вручную, перезагрузить веб-сервер/балансировщик, проверить результат командой openssl s_client.

Когда можно заглушить

Нельзя, пока сертификат не обновлён.