Expirovaný SSL certifikát: prečo vaše Facebook reklamy zomreli cez noc

Váš web funguje, stránka existuje, obsah je v poriadku. A napriek tomu každý návštevník z reklamy uvidí namiesto vašej ponuky červené varovanie „Vaše pripojenie nie je súkromné". Toto je anatómia jednej z najzákernejších chýb v platenej reklame.

Čo sa stane, keď certifikát expiruje

SSL/TLS certifikát potvrdzuje, že komunikácia medzi prehliadačom a vaším webom je šifrovaná a že web je naozaj ten, za ktorý sa vydáva. Certifikáty majú pevný dátum platnosti. V momente, keď tento dátum uplynie, prehliadače prestanú certifikátu dôverovať: Chrome zobrazí chybu NET::ERR_CERT_DATE_INVALID a celoobrazovkové varovanie, ktoré návštevníka aktívne odrádza od pokračovania.

Pre vaše reklamy to znamená totálny výpadok. Návštevník nevidí pomalú alebo škaredú stránku. Nevidí žiadnu stránku. Väčšina ľudí pri bezpečnostnom varovaní okamžite odíde, a úprimne: pri neznámom e-shope je to presne to, čo by mali urobiť.

Dní platia certifikáty Let's Encrypt, ktoré používa veľká časť webov. Obnova musí prebehnúť automaticky a opakovane.

Prečo obnovy zlyhávajú potichu

Let's Encrypt zámerne vydáva certifikáty len na 90 dní, aby prinútil weby automatizovať obnovu. Automatizácia je správna myšlienka, ale vytvára falošný pocit istoty: keď obnova raz zlyhá, nikto si to nevšimne, pretože web funguje ďalej. Certifikát je totiž ešte stále platný. Problém sa prejaví až o týždne neskôr, keď starý certifikát doslúži, typicky v noci alebo cez víkend.

Typické príčiny tichého zlyhania obnovy:

Zmena konfigurácie servera: obnovovací proces potreboval port alebo priečinok, ktorý medzičasom obsadila iná služba.
Zmena DNS alebo presun webu: doména už nesmeruje tam, kde obnova prebieha.
Expirovaná platobná karta pri platených certifikátoch alebo zrušený účet u poskytovateľa.
Obnovovací skript sa jednoducho prestal spúšťať a nikto nedostal notifikáciu.

Reklama medzitým beží ďalej

Meta kontroluje reklamu pri schvaľovaní, nie priebežne počas jej behu. Expirovaný certifikát na vašej strane nijako nezastaví doručovanie reklám ani míňanie rozpočtu. Kliknutia sa účtujú ďalej, len konverzie klesnú na nulu. Ak platíte za kliknutie 0,50 € a kampaň privádza 100 kliknutí denne, každý deň výpadku vás stojí 50 € bez akejkoľvek šance na návratnosť.

Ako sa chrániť

Zistite, kedy váš certifikát expiruje. Kliknite na ikonu zámku v prehliadači a pozrite si platnosť certifikátu. Trvá to desať sekúnd.
Overte, že automatická obnova reálne beží. Nestačí, že bola kedysi nastavená. Požiadajte správcu webu o testovaci beh obnovy (pri certbote napríklad certbot renew --dry-run).
Monitorujte cieľové stránky reklám vrátane SSL. 404Watcher pri každej hodinovej kontrole overuje aj SSL chyby, takže o expirovanom certifikáte viete do hodiny, nie po víkende, keď to zbadáte v štatistikách.

Kľúčové ponaučenia

Expirovaný certifikát znamená, že návštevníci z reklám vidia bezpečnostné varovanie namiesto vašej stránky. Konverzie klesnú na nulu okamžite.
Zlyhania automatickej obnovy sú tiché a prejavia sa až o týždne neskôr, keď starý certifikát doslúži.
Meta reklamy pri SSL chybe nezastaví. Jediná ochrana je vedieť o probléme skôr, než ho zaplatíte.