El apagón por un certificado vencido leído en registros

Para aceptar una conexión, un validador comprueba mucho más que la fecha del certificado que tiene delante: la cadena hasta la raíz, cada intermedia, el estado de revocación de cada eslabón y, si usa OCSP, la firma de la respuesta. El RFC 6960 permite que la autoridad delegue la firma de respuestas OCSP en un certificado propio, con su uso específico, y ese certificado también vence. Cualquier pieza vencida rompe la validación aunque el certificado del servidor tenga meses por delante.

En los registros, cada pieza falla con un mensaje distinto: un certificado de cliente vencido, una cadena que no se completa, un estado de revocación desconocido. Leer el motivo exacto, y no solo «falló el TLS», ahorra horas de buscar en la red un problema que está en la PKI. Los registros de muchos productos están en inglés: conviene leerlos tal cual.

Abre el laboratorio y lee api-int01.log. No todos los errores de la madrugada son el apagón: hay un rechazo anterior con otro motivo y otro cliente, que no tiene nada que ver. Busca el motivo que se repite en los rechazos de los servicios de producción y crúzalo con certificados-de-la-pki.txt.

La pieza venció a una hora exacta, pero el daño no empezó a esa hora: el validador guarda las respuestas de estado durante un tiempo y solo falla cuando vuelve a preguntar. Por eso el primer rechazo llega algo después, y luego los rechazos se extienden servicio a servicio. El tiempo que importa para el diseño es otro: cuánto pasó entre el primer rechazo real y el primer aviso a una persona.

Busca en api-int01.log el primer rechazo por la causa del apagón y en monitor.log la primera alerta.

El monitor no estaba roto: comprobaba con exactitud lo que le pidieron. Una comprobación de vencimiento mira la fecha del certificado del servidor y nada más; una prueba de transacción recorre el flujo como lo haría una tienda, y por eso sí falla cuando falla la validación, pero solo si corre a menudo. Un monitor en verde durante un apagón es un hallazgo de diseño, no de operación.

Lee monitor.log y piensa qué servicio cayó.

El apagón no lo causó una falla técnica nueva: lo causó una pieza de la propia PKI que no estaba en el inventario, con renovación manual a cargo de alguien que ya se había ido, y un monitor que no validaba como valida el consumidor.