Let’s Encryptで切れそうにないのに証明書が切れる通知が届く

事象

今日下のようなメールが届きました。

Let’s Encrypt certificate expiration notice for domain “3pei.info”

Hello,

Your certificate (or certificates) for the names listed below will expire in 10 days (on 19 Oct 18 01:09 +0000). Please make sure to renew your certificate before then, or visitors to your website will encounter errors.

We recommend renewing certificates automatically when they have a third of their
total lifetime left. For Let’s Encrypt’s current 90-day certificates, that means
renewing 30 days before expiration. See
https://letsencrypt.org/docs/i ntegration-guide/ for details.

簡単に言えば

「お前が取った証明書、あと10日できれっから早めに更新しろよ！」

っていう感じ。

調査

で、確認してみた。

来月まで大丈夫みたい・・・・

一応コマンドラインでもみてみた

※サイトを格納しているVPSから直接実行してみた

# openssl x509 -in /etc/letsencrypt/live/3pei.info/cert.pem -noout -dates
notBefore=Aug 20 01:22:18 2018 GMT
notAfter=Nov 18 01:22:18 2018 GMT

うん、ブラウザの表示と一緒だな

結論

LetsEncryptは同じ証明書で取り直したりしてると、最初に取得したタイミングの通知が有効になってしまうらしい。

本家サイトのフォーラムでも”certificate expiration notice”で検索すると結構な数の記事がヒットした。

回答としては、

要はブラウザで見えてるのが正しいよ、と。

Let's Encrypt Community Support

Receiving certificate expiration notice

https://community.letsencrypt.org/t/receiving-certificate-expiration-notice/24968

Hi, I’m receiving the certficate expiration notices for our host www.sonicle.com and others under the same domain. I ran getssl to update the certificates on 29/12/2016, and showing the certificate from a browser it says they are valid until 29/03/2017. Why am I still receiving these notices? Do I need to do something else? Thanks, Gabriele

そういえば僕、このあたりで何度も失敗して取り直してロックかけたぐらいだった（ロックがかかると1週間再取得ができない）

きちんと確認できないのはなんだかもやもやするが、まぁしゃーない。

結局何もせず10月18日を迎えたが、証明書は失効することなく使い続けられています。

まとめ

・Let’s Encrypt certificate expiration notice　が届いたら、まず日時を確認。

・ブラウザで見た日時と違っているようであれば、過去の別作業のタイミングで通知してきている可能性が考えられる

・なのでブラウザ表示が重要。それによって対処用日が決まる