BlackboxSslExpiresSoon: что делать при алерте

Правило алерта

alert: BlackboxSslExpiresSoon
expr: (probe_ssl_earliest_cert_expiry{job=~"blackbox.*"} - time()) / 86400 < 14
and (probe_ssl_earliest_cert_expiry{job=~"blackbox.*"} - time()) / 86400 >= 3
and probe_ssl_earliest_cert_expiry{job=~"blackbox.*"} > 0
for: 1h
severity: warning

Сообщение алерта: SSL-сертификат {{ $labels.instance }} истекает менее чем через 14 дней

Что значит

До окончания сертификата осталось меньше 14 дней, но не меньше 3 (1 час подряд). Значение берётся из probe_ssl_earliest_cert_expiry — самый ранний срок во всей цепочке.

Частые причины

Не сработало автоматическое продление (ACME/certbot, cert-manager), изменился путь проверки домена, продление не настроено вовсе, отозван доступ к DNS API.

Диагностика

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -subject -issuer -dates
certbot certificates                           # если используется certbot
systemctl list-timers | grep -i certbot
journalctl -u certbot -n 50 --no-pager
kubectl get certificate -A                     # если используется cert-manager

Как исправить

Запустить продление вручную (certbot renew, повторный выпуск через cert-manager), затем перезагрузить веб-сервер (systemctl reload nginx), чтобы он подхватил новый файл. Исправьте причину, из-за которой автоматика не сработала.

Когда можно заглушить

Для сертификатов, которые вы намеренно не продлеваете (домен выводится из эксплуатации).