Expirovaný SSL certifikát: proč vaše Facebook reklamy zemřely přes noc

Váš web funguje, stránka existuje, obsah je v pořádku. A přesto každý návštěvník z reklamy uvidí místo vaší nabídky červené varování „Vaše připojení není soukromé". Toto je anatomie jedné z nejzákeřnějších chyb v placené reklamě.

Co se stane, když certifikát expiruje

SSL/TLS certifikát potvrzuje, že komunikace mezi prohlížečem a vaším webem je šifrovaná a že web je opravdu ten, za který se vydává. Certifikáty mají pevné datum platnosti. V momentě, kdy toto datum uplyne, prohlížeče přestanou certifikátu důvěřovat: Chrome zobrazí chybu NET::ERR_CERT_DATE_INVALID a celoobrazovkové varování, které návštěvníka aktivně odrazuje od pokračování.

Pro vaše reklamy to znamená totální výpadek. Návštěvník nevidí pomalou nebo ošklivou stránku. Nevidí žádnou stránku. Většina lidí při bezpečnostním varování okamžitě odejde, a upřímně: u neznámého e-shopu je to přesně to, co by měli udělat.

Dní platí certifikáty Let's Encrypt, které používá velká část webů. Obnova musí proběhnout automaticky a opakovaně.

Proč obnovy selhávají potichu

Let's Encrypt záměrně vydává certifikáty jen na 90 dní, aby přinutil weby automatizovat obnovu. Automatizace je správná myšlenka, ale vytváří falešný pocit jistoty: když obnova jednou selže, nikdo si toho nevšimne, protože web funguje dál. Certifikát je totiž ještě stále platný. Problém se projeví až o týdny později, když starý certifikát doslouží, typicky v noci nebo o víkendu.

Typické příčiny tichého selhání obnovy:

Změna konfigurace serveru: obnovovací proces potřeboval port nebo složku, kterou mezitím obsadila jiná služba.
Změna DNS nebo přesun webu: doména už nesměřuje tam, kde obnova probíhá.
Expirovaná platební karta u placených certifikátů nebo zrušený účet u poskytovatele.
Obnovovací skript se jednoduše přestal spouštět a nikdo nedostal notifikaci.

Reklama mezitím běží dál

Meta kontroluje reklamu při schvalování, ne průběžně během jejího běhu. Expirovaný certifikát na vaší straně nijak nezastaví doručování reklam ani utrácení rozpočtu. Prokliky se účtují dál, jen konverze klesnou na nulu. Pokud platíte za proklik 0,50 € a kampaň přivádí 100 prokliků denně, každý den výpadku vás stojí 50 € bez jakékoli šance na návratnost.

Jak se chránit

Zjistěte, kdy váš certifikát expiruje. Klikněte na ikonu zámku v prohlížeči a podívejte se na platnost certifikátu. Trvá to deset sekund.
Ověřte, že automatická obnova reálně běží. Nestačí, že byla kdysi nastavená. Požádejte správce webu o testovací běh obnovy (u certbotu například certbot renew --dry-run).
Monitorujte cílové stránky reklam včetně SSL. 404Watcher při každé hodinové kontrole ověřuje i SSL chyby, takže o expirovaném certifikátu víte do hodiny, ne po víkendu, když to uvidíte ve statistikách.

Klíčová ponaučení

Expirovaný certifikát znamená, že návštěvníci z reklam vidí bezpečnostní varování místo vaší stránky. Konverze klesnou na nulu okamžitě.
Selhání automatické obnovy jsou tichá a projeví se až o týdny později, když starý certifikát doslouží.
Meta reklamy při SSL chybě nezastaví. Jediná ochrana je vědět o problému dřív, než ho zaplatíte.