Ler as notificações de renovação de certificados do ACM

Um certificado emitido pelo ACM se renova sozinho antes de expirar, desde que o registro CNAME da validação de DNS continue no lugar e o certificado esteja associado a algum recurso da AWS. O que chega nesse caso é um e-mail de renovação concluída, do tipo “Your certificate is renewed”, e não há nada a fazer.

Já quando o registro CNAME sumiu, quando o certificado usa validação por e-mail ou quando ele não está associado a recurso nenhum, a renovação automática não acontece e chega um e-mail com “Action required” pedindo a validação. Esse exige ação: se a validação não sair até a data indicada, o certificado expira. E se a data se aproximar sem a renovação ter acontecido, chega também um aviso de expiração.

Como regra prática: se o assunto traz “Action required”, “requires validation” ou “expire”, há algo a fazer; se traz “renewed” ou “has been issued”, basta ler. O corpo tem o nome do domínio e o ARN do certificado — que inclui o ID da conta —, então dá para ver de qual cliente e de qual site ele fala.

O caso difícil é quando os certificados dos domínios de vários clientes se renovam ao mesmo tempo e chega uma dúzia de e-mails com o mesmo assunto. Basta um deles dizer “Action required” para passar despercebido.

O Sabaki extrai o ID da conta do ARN que aparece no corpo, vincula a notificação ao grupo do cliente correspondente e marca as de renovação concluída como “Informativa” e as que pedem validação como “Ação necessária”, com o prazo. Mesmo que cheguem várias notificações com o mesmo assunto, o resumo em português separa uma da outra num relance: “não é preciso fazer nada” ou “adicione o registro DNS até tal data”. Diferente dos e-mails de marketing, estas são entregues também no Slack e por e-mail.

Os motivos de uma renovação automática falhar são poucos. Leia a explicação, veja qual deles se aplica e, se o trabalho for do lado do cliente, o resumo em português já serve como a mensagem que você envia.

• O registro CNAME da validação de DNS sumiu em uma transferência de domínio ou na recriação da zona.
• O certificado usa validação por e-mail e ninguém respondeu ao e-mail de aprovação enviado para admin@ ou webmaster@.
• O certificado não está associado a nenhum recurso da AWS, o que o deixa fora da renovação automática (se ninguém usa mais, pode excluir).

As notificações de renovação concluída podem ser buscadas pelo assunto na caixa de entrada, selecionadas de uma vez e arquivadas em bloco. Deixar só a que exige ação e acompanhá-la no registro de atendimento faz a rodada render em pouco tempo.