Сбой Let's Encrypt на 90 минут превратился в «упали на весь день» — директор вышел исправлять

90-минутный сбой, пересказанный как дневной

Страница статуса Let's Encrypt зафиксировала период «Деградированной производительности», и материал попал на HN с заголовком, из которого следовало, что удостоверяющий центр фактически не работал большую часть дня. Это было неверно. Опровержение прислал руководитель организации:

«Let's Encrypt большую часть дня работал в штатном режиме. Примерно 90 минут часть наших пользователей получала повышенный процент ошибок из-за проблем с вышестоящей сетью, но даже в этот период большинство запросов выполнялось успешно.» — Josh Aas, исполнительный директор ISRG

Он добавил, что заметка на status.io «интерпретируется как куда более серьёзная, чем задумывалась», и написана она была в ответ на более ранний пост, заголовок которого подразумевал полный дневной сбой. Один из читателей успел сказать то же самое раньше него: «Деградированная производительность означает именно это, а не «не работает».»

Почему рядовой сбой не сломал интернет

Причина отсутствия катастрофы проста и важна: хорошо настроенные ACME-клиенты обновляют сертификаты заранее, а не в последний момент.

«Хорошо, что ACME-клиенты стараются продлевать сертификаты заблаговременно, а не откладывают до последнего.» — комментатор о том, почему раннее обновление поглощает короткие сбои

Девяностоминутный сбой незаметен для тех, у кого до истечения сертификата ещё несколько недель. Проблемы возникают там, где нет автоматизации: один читатель прямо связал инцидент с устройством в своей сети: «Вот почему один из моих IoT-производителей использует просроченный сертификат».

Настоящая тревога: одна некоммерческая организация, и сроки становятся короче

Острый вопрос треда был не о сегодняшних ошибках, а о структурной ставке, которую сделал интернет:

«Let's Encrypt — единая точка отказа для большой доли интернета.» — комментатор о риске концентрации

Эта тревога обострилась на фоне курса Let's Encrypt на сокращение сроков действия сертификатов:

«Не лучшая ситуация для организации, которая постоянно продвигает сокращение сроков истечения.» — saagarjha

Короткий срок действия означает более частые обновления, то есть большую зависимость от доступности удостоверяющего центра: меньше запаса именно для таких сбоев. Когда участники треда спросили об альтернативах, планка, которую назвал один из комментаторов, объяснила, почему простого второго источника нет: бесплатный, открытый для всех, удобный для автоматизации и доверенный во всех браузерах и ОС. Построить другой такой, чтобы он прошёл по всем четырём критериям, — вот настоящая сложная задача, а не выживание в 90-минутном сетевом сбое.