TLS-overvågning: Komplet guide til automatisk certifikatscanning
Certifikatudløb er kun én af mange TLS-risici.
Læs artiklen
TLS- & SSL-certifikatovervågning
Du ved ikke hvad du ikke overvåger — og det er problemet
CertControl scanner alle dine TLS- og SSL-certifikater løbende — internet-vendte og interne. Udløb, svage konfigurationer og kædefejl opdages, før de rammer produktion. Ikke én gang. Hele tiden.
14 dages gratis prøveperiode · Ingen kreditkort krævet · Hostet i EU
Hvad CertControl overvåger
Udløbsdatoen er kun begyndelsen
De fleste teams ved hvornår certifikatet udløber. Færre ved om kæden er komplet, om OCSP-valideringen virker, eller om serveren stadig tilbyder TLS 1.0 til alle der spørger. CertControl dækker hele billedet — automatisk, ved hvert scan.
Udløb og fornyelsesvindue
CertControl sporer alle certifikatudløb og sender alarmer ved de tærskler du selv sætter. Med 47-dages certifikater i 2029 er automatisk sporing ikke et nice-to-have — det er kritisk infrastruktur.
Certifikatkæde og OCSP
Vi validerer kæden fra leaf-certifikat til root og tjekker OCSP-status løbende. Et tilbagekaldt certifikat opdager CertControl, inden browsere og API-klienter begynder at afvise det.
TLS-protokol og cipher suites
CertControl detekterer forældet TLS 1.0/1.1 og svage cipher suites og giver hvert endpoint en karakter A+ til F. Samme information som en manuel SSL Labs-test — men automatiseret og opdateret ved hvert scan.
SAN-validering og domænedækning
Vi verificerer at certifikatets Subject Alternative Names faktisk dækker de domæner de er sat til at beskytte — inklusive wildcard-udvidelse og huller der opstår når infrastrukturen ændrer sig.
Certificate Transparency-logs
CertControl overvåger CT-logs og fanger certifikater udstedt til dine domæner, som du ikke kender til. Det er den første linje til at opdage uautoriserede udstedelser og skygge-IT.
Interne netværk via on-premise agent
CertControl-agenten scanner interne endpoints bag firewall og sender resultaterne sikkert til platformen. Ingen undtagelser for interne systemer — AD, mail, CI/CD og intern API-trafik overvåges på samme vilkår som det internet-vendte.
Internet-vendt vs. intern overvågning
De certifikater der overrasker mest er dem ingen vidste om
Internet-vendte certifikater er synlige. Interne certifikater — på AD, intranet, mail-servere, CI/CD-pipelines og intern API-kommunikation — er dem der oftest forårsager nedbrud, fordi de ikke er på nogens radar. CertControl scanner begge sider fra samme platform.
Internet-vendt scanning
- CertControl scanner direkte fra platformen — ingen installation kræves
- Fuld TLS-protokolanalyse og karaktergivning pr. endpoint
- HTTP-sikkerhedsheaders: HSTS, CSP, X-Frame-Options
- Automatisk opdagelse af subdomæner via CT-logs
- Leverandørers certifikater på dine domæner overvåges med
Intern netværksscanning (agent)
- On-premise agent installeres i dit netværk på få minutter
- Kun udgående forbindelser — nul indgående porte åbnes
- Fungerer bag firewall, proxy og NAT uden undtagelser
- Samme certifikatdata og karaktergivning som internet-vendt scanning
- Samlet overblik over alle endpoints i én platform
Alarmer og notifikationer
En alarm i en fælles postboks er det samme som ingen alarm
CertControl sender til de rigtige mennesker, på de kanaler de faktisk bruger, med nok kontekst til at de kan handle uden at grave i dashboards. Eskalering sker automatisk hvis ingen kvitterer.
Tærskler du sætter selv
Vælg hvornår alarmerne skal afsendes — 60, 30, 14, 7 eller 1 dag inden udløb. Kritiske systemer kan have skærpede tærskler. Du justerer per endpoint-gruppe, ikke globalt.
E-mail og webhooks
Alarmer sendes til navngivne modtagere og via webhooks til Slack, Microsoft Teams, PagerDuty eller ethvert system der modtager HTTP POST. Certifikatudløb dukker op i den kanal teamet allerede bruger.
Automatisk eskalering
Opsæt backup-modtagere der aktiveres, hvis ingen kvitterer på en alarm. Kritiske certifikater er aldrig afhængige af én person der er på ferie eller syg.
Hyppigt stillede spørgsmål
Hvad er TLS-certifikatovervågning?
TLS-certifikatovervågning er løbende automatisk scanning af dine endpoints for at opdage certifikatudløb, svage cipher suites, ufuldstændige kæder og andre TLS-problemer — inden de forårsager nedbrud eller sikkerhedshuller. Udløbsdatoen er kun ét af mange parametre: en fejlkonfigureret cipher suite eller et manglende mellemcertifikat kan stoppe tjenester, selvom certifikatet er gyldigt.
Hvad er forskellen på TLS og SSL overvågning?
SSL er forgængeren til TLS og er ikke længere i brug. Alle moderne certifikater er i praksis TLS-certifikater. Begreberne bruges i flæng, og TLS/SSL-certifikatovervågning dækker begge — det handler om at overvåge de certifikater der sikrer HTTPS-forbindelser og krypteret kommunikation.
Kan CertControl overvåge interne systemer bag firewall?
Ja. CertControl-agenten installeres i dit netværk og scanner interne endpoints — AD-servere, mail, intranet og intern API-kommunikation. Agenten sender kun udgående trafik til CertControl-platformen. Ingen indgående porte åbnes, og den fungerer bag firewall og NAT.
Hvornår sender CertControl alarmer?
Du bestemmer tærsklen selv — typisk 60, 30, 14, 7 og 1 dag inden udløb. CertControl sender alarmer via e-mail til navngivne modtagere og via webhooks til Slack, Teams og andre systemer. Du kan sætte separate tærskler for kritiske systemer.
Understøtter CertControl ACME-certifikatanmodning?
Ja, i to tilstande. Som ACME-klient (Business-plan) anmoder CertControl automatisk om certifikater fra Let's Encrypt — HTTP-01 og DNS-01 håndteres, private nøgler gemmes krypteret. Som ACME Server (RFC 8555, Scale-plan) peger interne Linux- og Windows-servere med certbot, acme.sh eller Posh-ACME på CertControl for zero-touch fornyelse — inklusive automatisk installation. Scale-planen inkluderer desuden ARI (RFC 9773): CertControl signalerer det optimale fornyelsesvindue til hver ACME-klient — koordineret fleetfornyelse og koordineret revokering med ét klik. Fra 2029 falder maksimal certifikatlevetid til 47 dage — ACME-automation er den eneste skalerbare løsning.
Relaterede ressourcer
Vejledning
Vejledning
Vejledning
Vejledning
Vejledning
Vejledning
Vejledninger til TLS-overvågning og certifikatregister
TLS-certifikatoversigt: Opbyg og vedligehold et komplet certifikatregister
De fleste organisationer har ikke et komplet TLS-certifikatregister.
Læs artiklenHvad er en certifikatkæde — og hvad går galt når den er forkert konfigureret
En ufuldstændig certifikatkæde fejler for API-klienter men ikke i browseren.
Læs artiklenHvad er OCSP — og hvorfor tilbagekaldte certifikater ofte stadig virker
Tilbagekaldte TLS-certifikater accepteres stadig i timer eller dage i de fleste browsere.
Læs artiklenWildcard-certifikater: Risici og hvornår de er acceptable
Ét kompromitteret wildcard-certifikat rammer alle underdomæner.
Læs artiklenCertifikattransparens forklaret: Hvorfor jeres certifikater er offentlige
Hvert offentligt betroet TLS-certifikat logges automatisk i CT-logs — synligt for alle inkl.
Læs artiklen