Мониторинг SSL сертификатов через PowerShell: не допусти простой из-за просроченного сертификата

Пятница, вечер. Сертификат истёк — и сайт интернет-магазина начал встречать покупателей красной страницей «Небезопасное соединение». Браузеры заблокировали переход намертво. За выходные конверсия просела на 70%. Был и другой случай: корпоративный Exchange молча перестал принимать входящую почту от внешних серверов. STARTTLS-рукопожатие обрывалось из-за просроченного сертификата на SMTP-порту — письма клиентов уходили в никуда три дня подряд, пока мы не докопались до причины. Третья история — VPN-шлюз с SSL-сертификатом для WebVPN накрылся ровно в день дедлайна квартального отчёта. Сотрудники на удалёнке разом потеряли доступ в корпоративную сеть. Все три ситуации объединяет одно: сертификат можно было обновить заранее. Просто никто не проверял.

Ручная проверка через браузер — нажал на замочек, увидел дату — вполне рабочий подход, если у тебя пять сайтов и железная память. Но когда доменов уже двадцать, а к ним добавляются внутренние серверы с LDAPS, RDP, почтовыми реле и VPN-шлюзами, это превращается в лотерею. Рано или поздно что-то пропустишь. PowerShell позволяет автоматизировать проверку срока сертификата на любом количестве узлов, запустить её по расписанию и получить алёрт за 2-3 недели до истечения — задолго до того, как браузер покажет пользователям страшную красную страницу.

Как PowerShell читает сертификаты — через .NET и System.Net.Security

PowerShell работает поверх .NET, и вся криптографическая работа выполняется именно .NET-классами. Чтобы получить SSL-сертификат удалённого сервера, сначала поднимается TCP-соединение через System.Net.Sockets.TcpClient, а поверх него создаётся System.Net.Security.SslStream — зашифрованный поток, который при инициализации выполняет TLS-рукопожатие. Никакой магии — всё прозрачно на уровне кода.

После успешного рукопожатия объект SslStream отдаёт свойство RemoteCertificate типа System.Security.Cryptography.X509Certificates.X509Certificate2. Внутри — всё, что нужно: NotAfter (дата истечения), NotBefore (дата выдачи), Subject, Issuer, список SubjectAlternativeNames и отпечаток Thumbprint. Один объект — полная картина по сертификату.

Есть и альтернативный путь — Invoke-WebRequest с параметром -Certificate. Но на практике он неудобен: перехватить сам сертификат внутри запроса без кастомного обработчика не получится. Связка TcpClient + SslStream даёт прямой доступ к объекту сертификата и, что важно, работает на любом TCP-порту — не только на 443.

Базовый скрипт: проверка одного сайта

Начнём с минимального рабочего примера. Один домен, одна задача — узнать, сколько дней осталось до истечения сертификата.

# Домен для проверки и порт (443 — стандартный HTTPS)
$hostname = "example.com"
$port     = 443

# Создаём TCP-соединение с таймаутом 5 секунд
$tcp = New-Object System.Net.Sockets.TcpClient
$tcp.ConnectAsync($hostname, $port).Wait(5000) | Out-Null

# Создаём SSL-поток поверх TCP-соединения
# Callback всегда возвращает $true — нам важна дата, а не доверие
$ssl = New-Object System.Net.Security.SslStream(
    $tcp.GetStream(), $false,
    { $true }   # RemoteCertificateValidationCallback
)

# Выполняем TLS-рукопожатие: сервер передаёт свой сертификат
$ssl.AuthenticateAsClient($hostname)

# Извлекаем сертификат из установленного соединения
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2(
    $ssl.RemoteCertificate
)

# Вычисляем количество дней до истечения
$daysLeft = ($cert.NotAfter - (Get-Date)).Days

# Выводим результат
Write-Host "Домен:         $hostname"
Write-Host "Истекает:      $($cert.NotAfter.ToString('dd.MM.yyyy'))"
Write-Host "Дней осталось: $daysLeft"
Write-Host "Выдан:         $($cert.Issuer)"

# Закрываем соединения
$ssl.Close()
$tcp.Close()

Скрипт отрабатывает за доли секунды и возвращает точную дату истечения. Если сервер недоступен или сертификат уже просрочен — TLS-соединение в этом случае всё равно устанавливается, просто NotAfter окажется в прошлом — скрипт корректно обработает оба сценария.

Промышленный скрипт: массовая проверка из файла

Когда доменов несколько десятков, читаем список из CSV-файла и запускаем проверки параллельно через фоновые задания (Start-Job). На практике это сокращает общее время проверки в 5-10 раз по сравнению с последовательным обходом.

Файл domains.csv — простейший формат, ничего лишнего:

hostname,port,description
itfresh.ru,443,Основной сайт
mail.itfresh.ru,443,Веб-почта
crm.itfresh.ru,443,CRM-система
vpn.itfresh.ru,443,VPN-шлюз
ldap.corp.local,636,Контроллер домена LDAPS

Скрипт массовой проверки:

# Путь к файлу со списком доменов
$csvPath      = "C:\Scripts\SSL\domains.csv"
$warningDays  = 30   # жёлтая зона
$criticalDays = 10   # красная зона

# Функция проверки одного узла (запускается в отдельном job)
$checkScript = {
    param($hostname, $port, $description)

    $result = [PSCustomObject]@{
        Description = $description
        Hostname    = $hostname
        Port        = $port
        DaysLeft    = $null
        Expiry      = $null
        Issuer      = $null
        Status      = "ERROR"
        Error       = ""
    }

    try {
        $tcp = New-Object System.Net.Sockets.TcpClient
        if (-not $tcp.ConnectAsync($hostname, $port).Wait(8000)) {
            $result.Error = "Таймаут подключения"
            return $result
        }
        $ssl = New-Object System.Net.Security.SslStream(
            $tcp.GetStream(), $false, { $true }
        )
        $ssl.AuthenticateAsClient($hostname)
        $cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2(
            $ssl.RemoteCertificate
        )
        $daysLeft        = ($cert.NotAfter - (Get-Date)).Days
        $result.DaysLeft = $daysLeft
        $result.Expiry   = $cert.NotAfter.ToString("dd.MM.yyyy")
        $result.Issuer   = $cert.Issuer -replace "CN=","" -replace ",.*",""
        $result.Status   = if ($daysLeft -lt 0)        { "EXPIRED"  }
                           elseif ($daysLeft -lt 10)   { "CRITICAL" }
                           elseif ($daysLeft -lt 30)   { "WARNING"  }
                           else                        { "OK"       }
        $ssl.Close(); $tcp.Close()
    }
    catch { $result.Error = $_.Exception.Message }
    return $result
}

# Читаем домены и запускаем параллельные задания
$domains = Import-Csv $csvPath
$jobs = foreach ($d in $domains) {
    Start-Job -ScriptBlock $checkScript -ArgumentList $d.hostname, $d.port, $d.description
}

# Ждём завершения всех заданий (максимум 30 секунд)
$jobs | Wait-Job -Timeout 30 | Out-Null

# Собираем результаты и выводим таблицу
$results = $jobs | Receive-Job | Sort-Object DaysLeft
$jobs | Remove-Job -Force

$results | Format-Table Description, Hostname, DaysLeft, Expiry, Status -AutoSize

Цветовая индикация: зелёный / жёлтый / красный

Цветовое выделение в консоли PowerShell делает таблицу читаемой с первого взгляда. Три статуса закрывают все ситуации:

foreach ($r in $results) {
    $color = switch ($r.Status) {
        "OK"       { "Green"   }
        "WARNING"  { "Yellow"  }
        "CRITICAL" { "Red"     }
        "EXPIRED"  { "Magenta" }
        default    { "Gray"    }
    }
    $line = "{0,-30} {1,-25} {2,8} дн.  [{3}]" -f `
            $r.Description, $r.Hostname, $r.DaysLeft, $r.Status
    Write-Host $line -ForegroundColor $color
}

Отправка email-алёрта при приближении срока

Как только скрипт находит сертификаты со статусом WARNING или CRITICAL, он должен сразу отправить письмо ответственному администратору. Для этого в PowerShell есть встроенный командлет Send-MailMessage — ничего лишнего устанавливать не нужно.

# Параметры SMTP-сервера
$smtpParams = @{
    SmtpServer  = "smtp.itfresh.ru"
    Port        = 587
    UseSsl      = $true
    Credential  = Get-Credential   # или хранить в защищённом файле
    From        = "monitoring@itfresh.ru"
    To          = "admin@itfresh.ru"
}

# Фильтруем только проблемные сертификаты
$alerts = $results | Where-Object { $_.Status -in "WARNING","CRITICAL","EXPIRED" }

if ($alerts) {
    # Формируем тело письма в HTML
    $tableRows = $alerts | ForEach-Object {
        $bgColor = if ($_.Status -eq "WARNING") { "#fff3cd" } else { "#f8d7da" }
        "
           $($_.Description)
           $($_.Hostname)
           $($_.DaysLeft)
           $($_.Expiry)
           $($_.Status)
         "
    }
    $body = @"
<h2>SSL-сертификаты требуют внимания</h2>
<table border='1' cellpadding='6' cellspacing='0' style='border-collapse:collapse'>
  <tr><th>Описание</th><th>Домен</th><th>Дней</th><th>Истекает</th><th>Статус</th></tr>
  $($tableRows -join '')
</table>
<p>Сформировано: $(Get-Date -Format 'dd.MM.yyyy HH:mm')</p>
"@
    Send-MailMessage @smtpParams `
        -Subject "ALERT: Истекают SSL-сертификаты ($($alerts.Count) шт.)" `
        -Body $body -BodyAsHtml
}

Интеграция с Task Scheduler

Скрипт должен запускаться сам — каждый день в 8:00, до начала рабочего дня. Самый надёжный способ — создать задачу через PowerShell, не трогая GUI Планировщика руками.

# Параметры задачи
$taskName   = "SSL Certificate Monitor"
$scriptPath = "C:\Scripts\SSL\Check-SSLCerts.ps1"
$logPath    = "C:\Scripts\SSL\Logs\ssl-check.log"

# Действие: запуск PowerShell со скриптом, вывод в лог
$action = New-ScheduledTaskAction `
    -Execute "powershell.exe" `
    -Argument "-NonInteractive -ExecutionPolicy Bypass -File `"$scriptPath`" >> `"$logPath`" 2>&1"

# Триггер: каждый день в 08:00
$trigger = New-ScheduledTaskTrigger -Daily -At "08:00"

# Настройки: запускать под системной учёткой, даже если никто не залогинен
$settings = New-ScheduledTaskSettingsSet `
    -ExecutionTimeLimit (New-TimeSpan -Minutes 10) `
    -RestartCount 2 `
    -RestartInterval (New-TimeSpan -Minutes 5)

$principal = New-ScheduledTaskPrincipal `
    -UserId "SYSTEM" -RunLevel Highest

# Регистрируем задачу
Register-ScheduledTask `
    -TaskName $taskName `
    -Action $action `
    -Trigger $trigger `
    -Settings $settings `
    -Principal $principal `
    -Description "Ежедневная проверка SSL-сертификатов" `
    -Force

После регистрации задача появится в Планировщике в корневом каталоге. Проверить статус можно командой Get-ScheduledTask -TaskName "SSL Certificate Monitor", запустить вручную — Start-ScheduledTask -TaskName "SSL Certificate Monitor".

Проверка внутренних сертификатов (не только HTTPS)

Большинство статей по мониторингу SSL останавливаются на порту 443. Но в реальной корпоративной инфраструктуре сертификаты живут совсем не только там.

LDAPS (порт 636) — контроллеры домена Active Directory. Просроченный сертификат ломает аутентификацию LDAPS-клиентов, и под удар попадает всё, что к ним обращается — от почты до бизнес-приложений.

RDP (порт 3389) — серверы с пользовательскими SSL-сертификатами для Remote Desktop. Клиенты увидят предупреждение безопасности и, скорее всего, откажутся подключаться — особенно если в компании настроена политика NLA.

SMTP TLS (порт 587 или 465) — почтовые реле с принудительным STARTTLS. Внешние серверы просто отклонят соединение, и письма начнут теряться.

Хранилище Windows — сертификаты, установленные локально, проверяются вообще без сети. Никаких TCP-соединений, никаких таймаутов:

# Проверка сертификатов в локальном хранилище компьютера
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store(
    "My", "LocalMachine"
)
$store.Open("ReadOnly")

$expiringSoon = $store.Certificates | Where-Object {
    $_.NotAfter -lt (Get-Date).AddDays(30) -and $_.NotAfter -gt (Get-Date)
}

$expiringSoon | Select-Object Subject, NotAfter,
    @{N="DaysLeft"; E={($_.NotAfter - (Get-Date)).Days}},
    Thumbprint | Format-Table -AutoSize

$store.Close()

Базовый скрипт на TcpClient + SslStream работает с любым TCP-сервисом — просто меняете порт. С LDAPS есть один нюанс, на котором мы обожглись в своё время: при вызове AuthenticateAsClient имя хоста должно совпадать с тем, что прописано в сертификате — как правило, это FQDN контроллера домена. Передадите короткое имя вместо полного — получите ошибку аутентификации.

Экспорт в HTML-отчёт

HTML-отчёт удобен всем: открыл в браузере, прицепил к задаче в Jira, переслал руководству. Строится он из тех же данных $results, которые скрипт уже собрал — никакой дополнительной работы.

$reportPath = "C:\Scripts\SSL\Reports\ssl-report-$(Get-Date -Format 'yyyyMMdd').html"

$rows = $results | ForEach-Object {
    $bg = switch ($_.Status) {
        "OK"       { "#d4edda" }
        "WARNING"  { "#fff3cd" }
        "CRITICAL" { "#f8d7da" }
        "EXPIRED"  { "#f5c6cb" }
        default    { "#e2e3e5" }
    }
    "<tr style='background:$bg'>
       <td>$($_.Description)</td>
       <td>$($_.Hostname):$($_.Port)</td>
       <td>$($_.Expiry)</td>
       <td style='text-align:center;font-weight:bold'>$($_.DaysLeft)</td>
       <td>$($_.Issuer)</td>
       <td><b>$($_.Status)</b></td>
     </tr>"
}

$html = @"
<!DOCTYPE html><html lang='ru'><head>
<meta charset='UTF-8'>
<title>SSL Report $(Get-Date -Format 'dd.MM.yyyy')</title>
<style>body{font-family:Arial;padding:20px} table{border-collapse:collapse;width:100%}
th{background:#1a0a00;color:#fff;padding:10px} td{padding:8px;border-bottom:1px solid #ddd}</style>
</head><body>
<h1>Отчёт по SSL-сертификатам</h1>
<p>Сформирован: $(Get-Date -Format 'dd.MM.yyyy HH:mm')</p>
<table><tr>
  <th>Описание</th><th>Сервер</th><th>Дата истечения</th>
  <th>Дней</th><th>Издатель</th><th>Статус</th>
</tr>$($rows -join '')</table></body></html>
"@

$html | Out-File $reportPath -Encoding UTF8
Write-Host "Отчёт сохранён: $reportPath" -ForegroundColor Cyan

Интеграция с мониторингом (Zabbix / Nagios)

Если у вас уже стоит Nagios или Zabbix — скрипт встраивается без плясок с бубном. Exit-коды стандартные: 0 — OK, 1 — WARNING, 2 — CRITICAL. Обе системы читают их из коробки, ничего дополнительно настраивать не нужно.

# Nagios/Zabbix-совместимая обёртка для проверки одного домена
param(
    [string]$Hostname,
    [int]$Port      = 443,
    [int]$WarnDays  = 30,
    [int]$CritDays  = 10
)

try {
    $tcp = New-Object System.Net.Sockets.TcpClient
    if (-not $tcp.ConnectAsync($Hostname, $Port).Wait(8000)) {
        Write-Output "UNKNOWN: Таймаут подключения к ${Hostname}:${Port}"
        exit 3
    }
    $ssl = New-Object System.Net.Security.SslStream($tcp.GetStream(), $false, { $true })
    $ssl.AuthenticateAsClient($Hostname)
    $cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2(
        $ssl.RemoteCertificate
    )
    $days = ($cert.NotAfter - (Get-Date)).Days
    $ssl.Close(); $tcp.Close()

    if ($days -lt 0) {
        Write-Output "CRITICAL: Сертификат просрочен $($cert.NotAfter.ToString('dd.MM.yyyy')) | days=$days"
        exit 2
    } elseif ($days -lt $CritDays) {
        Write-Output "CRITICAL: Осталось $days дней до $($cert.NotAfter.ToString('dd.MM.yyyy')) | days=$days"
        exit 2
    } elseif ($days -lt $WarnDays) {
        Write-Output "WARNING: Осталось $days дней до $($cert.NotAfter.ToString('dd.MM.yyyy')) | days=$days"
        exit 1
    } else {
        Write-Output "OK: Сертификат действителен $days дней до $($cert.NotAfter.ToString('dd.MM.yyyy')) | days=$days"
        exit 0
    }
}
catch {
    Write-Output "UNKNOWN: $($_.Exception.Message)"
    exit 3
}

Для Zabbix настройте External Check или пропишите UserParameter в агенте: UserParameter=ssl.days[*],powershell -File C:\Scripts\SSL\Check-SSL-Single.ps1 -Hostname $1 -Port $2. Zabbix сам подставит имя хоста и порт как аргументы, а в ответ получит число дней — дальше стройте графики и триггеры как хотите.

Скрипт «всё в одном»

Финальная версия скрипта собирает всё в одном файле: загрузка CSV, параллельная проверка, цвета в консоли, письмо с алёртом и HTML-отчёт. Один раз прописали параметры в шапке, закинули задачу в Task Scheduler — и система работает сама.

#Requires -Version 5.1
# Check-SSLCerts.ps1 — мониторинг SSL-сертификатов v2.0
# АйТи Фреш | itfresh.ru

param(
    [string]$CsvPath    = "C:\Scripts\SSL\domains.csv",
    [string]$ReportDir  = "C:\Scripts\SSL\Reports",
    [string]$SmtpServer = "smtp.itfresh.ru",
    [int]   $SmtpPort   = 587,
    [string]$MailFrom   = "monitoring@itfresh.ru",
    [string]$MailTo     = "admin@itfresh.ru",
    [string]$CredFile   = "C:\Scripts\SSL\creds.xml",
    [int]   $WarnDays   = 30,
    [int]   $CritDays   = 10
)

$checkBlock = {
    param($h, $p, $d)
    $r = [PSCustomObject]@{
        Desc="$d"; Host="$h"; Port="$p"
        Days=$null; Expiry=$null; Issuer=$null; Status="ERROR"; Err=""
    }
    try {
        $tcp = New-Object System.Net.Sockets.TcpClient
        if (-not $tcp.ConnectAsync($h,$p).Wait(8000)) { $r.Err="Timeout"; return $r }
        $ssl = New-Object System.Net.Security.SslStream($tcp.GetStream(),$false,{ $true })
        $ssl.AuthenticateAsClient($h)
        $cert    = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($ssl.RemoteCertificate)
        $r.Days   = ($cert.NotAfter-(Get-Date)).Days
        $r.Expiry = $cert.NotAfter.ToString("dd.MM.yyyy")
        $r.Issuer = ($cert.Issuer -replace "CN=","" -replace ",.*","").Trim()
        $r.Status = if ($r.Days -lt 0) {"EXPIRED"} elseif ($r.Days -lt $CritDays) {"CRITICAL"} `
                    elseif ($r.Days -lt $WarnDays) {"WARNING"} else {"OK"}
        $ssl.Close(); $tcp.Close()
    } catch { $r.Err = $_.Exception.Message }
    $r
}

$domains = Import-Csv $CsvPath
$jobs    = $domains | ForEach-Object {
    Start-Job $checkBlock -Args $_.hostname, $_.port, $_.description
}
$jobs | Wait-Job -Timeout 30 | Out-Null
$results = $jobs | Receive-Job | Sort-Object Days
$jobs    | Remove-Job -Force

$colors = @{ OK="Green"; WARNING="Yellow"; CRITICAL="Red"; EXPIRED="Magenta"; ERROR="Gray" }
foreach ($r in $results) {
    $line = "{0,-28} {1,-22} {2,6} дн  [{3}]" -f $r.Desc, $r.Host, $r.Days, $r.Status
    Write-Host $line -ForegroundColor $colors[$r.Status]
}

$alerts = $results | Where-Object { $_.Status -in "WARNING","CRITICAL","EXPIRED" }
if ($alerts -and (Test-Path $CredFile)) {
    $cred  = Import-Clixml $CredFile
    $rows  = $alerts | ForEach-Object {
        "<tr><td>$($_.Desc)</td><td>$($_.Host)</td><td>$($_.Days)</td><td>$($_.Expiry)</td><td>$($_.Status)</td></tr>"
    }
    $body = "<h2>SSL Alert</h2><table border=1 cellpadding=6 style='border-collapse:collapse'>" +
            "<tr><th>Описание</th><th>Домен</th><th>Дней</th><th>Истекает</th><th>Статус</th></tr>" +
            ($rows -join '') + "</table>"
    Send-MailMessage -SmtpServer $SmtpServer -Port $SmtpPort -UseSsl -Credential $cred `
        -From $MailFrom -To $MailTo `
        -Subject "SSL ALERT: $($alerts.Count) сертификатов требуют внимания" `
        -Body $body -BodyAsHtml
}

$null = New-Item $ReportDir -ItemType Directory -Force
$rFile = Join-Path $ReportDir "ssl-$(Get-Date -Format yyyyMMdd).html"
$tRows = $results | ForEach-Object {
    $bg = @{OK="#d4edda";WARNING="#fff3cd";CRITICAL="#f8d7da";EXPIRED="#f5c6cb";ERROR="#e2e3e5"}[$_.Status]
    "<tr style='background:$bg'><td>$($_.Desc)</td><td>$($_.Host):$($_.Port)</td><td>$($_.Expiry)</td><td>$($_.Days)</td><td>$($_.Status)</td></tr>"
}
"<!DOCTYPE html><html><head><meta charset='UTF-8'><title>SSL Report</title></head><body>" +
"<h1>SSL Report $(Get-Date -Format 'dd.MM.yyyy')</h1>" +
"<table border=1 cellpadding=6 style='border-collapse:collapse'>$($tRows -join '')</table></body></html>" |
Out-File $rFile -Encoding UTF8
Write-Host "`nОтчёт сохранён: $rFile" -ForegroundColor Cyan

Просроченный сертификат — это авария, которую проще всего предотвратить. Не отказ железа, не DDoS — дата истечения известна за год. Скрипт на PowerShell превращает эту информацию из «кто-то там помнит в голове» в «система прислала письмо за 30 дней». Закиньте в domains.csv все свои хосты, зарегистрируйте задачу в Task Scheduler — и внезапные простои из-за SSL останутся в прошлом.

Официальная документация: Microsoft Learn — PowerShell, Let's Encrypt Documentation