TLS-Zertifikate automatisieren, bevor die kurzen Laufzeiten dich einholen

while read -r host; do
  ende=$(openssl s_client -connect "$host:443" -servername "$host" </dev/null 2>/dev/null \
    | openssl x509 -noout -enddate | cut -d= -f2)
  printf '%-40s %s\n' "$host" "${ende:-KEINE ANTWORT}"
done < hosts.txt

# Dienste mit STARTTLS gehören genauso auf die Liste
openssl s_client -connect mail.example.com:25 -starttls smtp </dev/null 2>/dev/null \
  | openssl x509 -noout -dates -subject

sudo find /etc /opt /srv -type f \( -name '*.pem' -o -name '*.crt' -o -name '*.cer' \) \
  -exec sh -c 'openssl x509 -noout -subject -enddate -in "$1" 2>/dev/null \
    && echo "    Datei: $1"' _ {} \;

location ^~ /.well-known/acme-challenge/ {
    root /var/www/acme;
    default_type "text/plain";
}

sudo mkdir -p /var/www/acme
sudo certbot certonly --webroot -w /var/www/acme \
  -d example.com -d www.example.com \
  --key-type ecdsa --agree-tos -m ssl@example.com --no-eff-email
sudo certbot certificates

# Wildcard geht nur über DNS-01
acme.sh --issue --dns dns_cf --server letsencrypt \
  -d intern.example.com -d '*.intern.example.com' --keylength ec-256

systemctl list-timers 'certbot*' --all
systemctl cat certbot.timer
sudo certbot renew --dry-run

# Bei acme.sh liegt der Aufruf standardmäßig in der Crontab des Benutzers
crontab -l | grep acme

# /etc/systemd/system/acme-renew.service
[Unit]
Description=ACME-Zertifikate erneuern
After=network-online.target
Wants=network-online.target

[Service]
Type=oneshot
ExecStart=/usr/bin/certbot renew --quiet

# /etc/systemd/system/acme-renew.timer
[Unit]
Description=Prueft zweimal taeglich auf faellige Erneuerungen

[Timer]
OnCalendar=*-*-* 03,15:00:00
RandomizedDelaySec=3600
Persistent=true

[Install]
WantedBy=timers.target

#!/bin/sh
set -eu

case "$RENEWED_LINEAGE" in
  */www.example.com)
    systemctl reload nginx
    ;;
  */mail.example.com)
    install -o root -g dovecot -m 0640 "$RENEWED_LINEAGE/privkey.pem"   /etc/dovecot/tls/privkey.pem
    install -o root -g root    -m 0644 "$RENEWED_LINEAGE/fullchain.pem" /etc/dovecot/tls/fullchain.pem
    systemctl reload dovecot postfix
    ;;
  */lb.example.com)
    cat "$RENEWED_LINEAGE/fullchain.pem" "$RENEWED_LINEAGE/privkey.pem" \
      > /etc/haproxy/certs/example.pem
    chmod 0600 /etc/haproxy/certs/example.pem
    systemctl reload haproxy
    ;;
esac

sudo chmod 0755 /etc/letsencrypt/renewal-hooks/deploy/10-reload.sh
sudo certbot renew --force-renewal --cert-name www.example.com
sudo journalctl -u nginx --since '-5 min'

# 1. Die Datei auf der Platte: Exit-Code 1 bei weniger als 21 Tagen Restlaufzeit
openssl x509 -checkend $((21*86400)) -noout \
  -in /etc/letsencrypt/live/www.example.com/cert.pem \
  || echo 'Erneuerung überfällig'

# 2. Der laufende Dienst, von außen betrachtet
echo | openssl s_client -connect www.example.com:443 -servername www.example.com 2>/dev/null \
  | openssl x509 -noout -dates -issuer

(probe_ssl_earliest_cert_expiry - time()) / 86400 < 14

step ca init --name "Beispiel GmbH Interne CA" \
  --dns ca.intern.example.com --address :443
step ca provisioner add acme --type ACME

# Ab hier funktioniert derselbe Client wie im Internet
sudo certbot certonly --standalone \
  --server https://ca.intern.example.com/acme/acme/directory \
  -d monitoring.intern.example.com

# Debian/Ubuntu
sudo cp intern-root.crt /usr/local/share/ca-certificates/intern-root.crt
sudo update-ca-certificates

# RHEL/Rocky/Alma
sudo cp intern-root.crt /etc/pki/ca-trust/source/anchors/
sudo update-ca-trust extract

# Kontrolle
openssl s_client -connect monitoring.intern.example.com:443 </dev/null 2>/dev/null | head -20