Certyfikaty SSL i szyfrowanie Białystok

Który wygasły certyfikat odcina firmę od jej własnego wsparcia?

Ten na tunelu dostępowym albo na urządzeniu brzegowym. Wygasa certyfikat, przez który wchodzimy do środowiska, ktoś dzwoni z problemem, a narzędzie do jego rozwiązania przestaje w tej samej chwili istnieć. Sprawa nadaje się wtedy do załatwienia wyłącznie przy urządzeniu, z laptopem i kablem, czyli w czasie, który dało się w całości oszczędzić.

Dlatego w naszym spisie ta jedna pozycja stoi wyżej niż certyfikat strony firmowej. Ostrzeżenie ustawiamy wcześniej, wymianę planujemy z zapasem, a równolegle utrzymujemy drugą drogę wejścia, która nie zależy od tego samego certyfikatu. Jedno bez drugiego zostawia lukę, którą widać dopiero w najgorszym dniu.

Firmy z Podlasia trafiają do nas czasem właśnie po takiej historii. Poprzedni wykonawca zakończył współpracę, certyfikat na urządzeniu wygasł kilka miesięcy później, a wraz z nim skończyła się możliwość wejścia z zewnątrz. Nikt tego nie zauważył, dopóki nie trzeba było czegoś naprawić.

Gdzie w firmie bez działu IT naprawdę siedzą daty ważności?

Miejsce	Co tam wygasa	Co się dzieje po wygaśnięciu	Czy ktoś to zauważy od razu
Tunel i dostęp zdalny	certyfikat urządzenia brzegowego	znika droga wejścia dla wsparcia	tylko my, przy próbie wejścia
Serwer poczty i domena	certyfikat i podpisy wpisów	program pocztowy zaczyna ostrzegać	tak, w ciągu godzin
Strona i sklep	certyfikat publiczny	przeglądarka blokuje wejście	tak, natychmiast
Wymiana danych z systemem kontrahenta	certyfikat po jednej ze stron	transmisja milknie bez komunikatu	nie, czasem po tygodniach
Panel serwera i konsola kopii	certyfikat wewnętrzny	ostrzeżenie klikane odruchowo	nie, klika się dalej
Drukarka, rejestrator, punkt dostępowy	certyfikat urządzenia	przestaje działać skanowanie albo panel	nie, uchodzi za awarię sprzętu

Ostatnie trzy wiersze są powodem, dla którego ta usługa w ogóle ma sens. Rzeczy widoczne od razu i tak zostaną naprawione, bo ktoś zadzwoni tego samego dnia. Rzeczy niewidoczne potrafią leżeć miesiącami i wychodzą przy najgorszej okazji, zwykle wtedy, gdy kontrahent pyta, czemu nie dostał pliku, który jego zdaniem wysłał.

Kto podaje klucz odzyskiwania, gdy laptop nie chce wstać?

To jest drugie pytanie, na które firma musi mieć odpowiedź przed zdarzeniem, a nie w jego trakcie. Zaszyfrowany dysk po zmianie w konfiguracji sprzętu, po aktualizacji układu rozruchowego albo po wymianie płyty potrafi poprosić o klucz odzyskiwania, czyli o ciąg kilkudziesięciu znaków. Bez niego dane są nie do odzyskania i nie ma od tego wyjątków.

Klucze zapisujemy więc w dwóch niezależnych miejscach: w Entra ID przypisane do komputera i w sejfie haseł, do którego dostęp ma również ktoś z Waszej strony. Świadomie nie trzymamy ich wyłącznie u siebie, bo to zamieniałoby zakończenie współpracy w problem, którego nikt nie przewidział przy podpisywaniu umowy.

Przy zdarzeniu wygląda to prosto. Osoba przy komputerze czyta identyfikator klucza z ekranu, my odnajdujemy go po tym identyfikatorze i dyktujemy klucz albo wskazujemy portal, z którego można go odczytać samodzielnie. Cała operacja zajmuje kilka minut i nie wymaga podchodzenia do komputera.

Jak wymieniamy certyfikat na brzegu sieci bez utraty dostępu?

Zawsze w tej samej kolejności, bo pomyłka przy urządzeniu brzegowym oznacza utratę zdalnego dostępu do niego. Najpierw robimy kopię konfiguracji i sprawdzamy, że da się ją przywrócić. Potem upewniamy się, że działa druga droga wejścia, czyli modem LTE albo dostęp przez inne urządzenie. Dopiero wtedy wgrywamy nowy certyfikat i restartujemy usługę.

Okno wybieramy poza godzinami największego ruchu, bo przy wymianie rwą się wszystkie połączenia szyfrowane przez to urządzenie, łącznie z naszym. Jeżeli coś pójdzie nie tak, wracamy do poprzedniej konfiguracji z kopii, a nie próbujemy naprawiać na żywo. Ta zasada jest u nas twarda, bo eksperymentowanie na urządzeniu, przez które biegnie cały ruch zakładu, kosztuje więcej niż spokojny powrót do stanu sprzed zmiany.

Na serwerach i w usługach chmurowych sprawa jest łatwiejsza, bo tam wymiana niczego nie odcina. Tam z kolei pilnujemy, żeby certyfikat trafił do wszystkich miejsc, które go używają. Jeden certyfikat bywa wpisany równocześnie w usługę sieciową, w konfigurację poczty i w zadanie wysyłające powiadomienia.

Co robimy w pierwszym miesiącu nadzoru?

Pierwszy tydzień to spis, i on zwykle jest najbardziej zaskakującą częścią usługi. Przechodzimy przez domeny, serwery, urządzenia i systemy, notując każdą datę ważności razem z miejscem instalacji i osobą, która powinna dostać ostrzeżenie. Wynikiem jest jedna tabela, której wcześniej w firmie nie było.

W drugim i trzecim tygodniu porządkujemy to, co pilne: pozycje wygasające w ciągu kwartału, protokoły w starych wersjach oraz miejsca, w których ten sam certyfikat jest używany przez kilka usług naraz. Równolegle sprawdzamy stan szyfrowania na komputerach i to, czy klucze odzyskiwania w ogóle gdzieś są.

Czwarty tydzień to ustawienie automatycznego odnawiania wszędzie, gdzie jest możliwe, i przekazanie Wam dostępu do spisu. Od tego momentu praca staje się powtarzalna, a ostrzeżenia przychodzą trzydzieści dni przed terminem. Szersza warstwa ochrony, w której ta usługa jest jednym z elementów, to bezpieczeństwo IT dla firm, a stan wyjściowy całego środowiska pokazuje audyt bezpieczeństwa IT.

Za co w tym obszarze nie odpowiadamy?

Nie odpowiadamy za treść i działanie Waszej strony ani sklepu, tylko za to, żeby połączenie do nich było ważne i poprawnie skonfigurowane. Nie kupujemy certyfikatów bez Waszej zgody, bo to Wasz koszt i Wasza decyzja o typie. Nie przejmujemy odpowiedzialności za urządzenia, których producent nie pozwala zaktualizować, choć wpisujemy je do spisu razem z tą informacją.

Nie odszyfrujemy też dysku bez klucza odzyskiwania i nikt inny tego nie zrobi. Dlatego sposób przechowywania kluczy ustalamy na starcie i sprawdzamy raz na kwartał, zamiast zakładać, że wszystko jest tam, gdzie miało być. Zakres nadzoru ustalamy przez kontakt.

Treść sprawdzona i zaktualizowana: 7 września 2026