Zusammenfassung

  • Fastly zählt die am Monatsende aktivierten TLS-Domains auch dann, wenn ihr Zertifikat abgelaufen ist. Die Zähleinheit ist der aktivierte Name, nicht die Zertifikatsdatei.
  • Ein selbst bereitgestelltes Zertifikat nimmt den Namen nicht aus dem gehosteten Dienst. Verlängerungsarbeit bleibt beim Kunden; ein bestimmter Wechsel vom alten Produkt kann zusätzlich eine frühere Vertragsdauer fortbestehen lassen.

Wer sein eigenes Zertifikat mitbringt, liefert einen Teil der Arbeit gleich mit. Er beschafft die Urkunde, verfolgt ihre Laufzeit und organisiert den Ersatz.

Zur Urkunde kommt der gehostete TLS-Dienst für den Namen. Diesen zweiten Teil bildet Fastlys öffentliche Preisliste ab: Für jeden zusätzlichen Domainnamen weist die entsprechende Zeile einen Preis von 20 US-Dollar pro Monat aus. Auf der Kundenseite treffen damit eigener Arbeitsaufwand und die eingekaufte Hosting-Leistung aufeinander.

Besonders leicht verschwindet die Arbeit aus dem Blick, wenn die Erinnerungen aufhören. Laut Leitfaden für eigene Zertifikate warnt Fastly dreißig Tage vor Ablauf in der Oberfläche und schickt regelmäßige E-Mails an Superuser. Nach dem Ablauf enden die automatischen Benachrichtigungen. Ein weiterhin aktivierter Name bleibt dagegen in der monatlichen Zählung.

Die TLS-Serviceoptionen legen die Regel ausdrücklich fest: Am Monatsende aktivierte Domains zählen unabhängig davon, ob ihr Zertifikat gültig oder abgelaufen ist. Der Kalender hat die Gültigkeit beendet. Über den Fortbestand des gehosteten Namens ist damit noch keine geschäftliche Entscheidung gefallen.

Für einen Anbieter von Kundenwebsites zählt diese Unterscheidung zum Preis seiner Arbeit. Der Kunde erwartet einen nutzbaren HTTPS-Zugang. Der Betreiber muss Zertifikat, Aktivierung und Zahlungsdauer zusammenhalten, auch wenn der ursprüngliche Einrichtungsauftrag längst abgerechnet ist. Eine fertige Datei liefert dafür keinen fertigen Betrieb.

Eine Datei kann mehrere Zähleinheiten tragen

Ein Zertifikat kann Hauptdomain, Subdomain und einen Wildcard-Eintrag enthalten. Fastly behandelt jeden Eintrag als eigenes Element und zählt die Domains kundenseitig verwalteter und von Fastly verwalteter Zertifikate zusammen. Maßgeblich sind die am Monatsende aktivierten Namen. Dateizahl und Besucherzahl sind andere Größen.

Das Bündeln von Namen in einer Datei kann Verwaltung sparen. Es ändert aber nicht, welche Einheit das Produkt abrechnet. Wer die Kosten anhand der abgelegten Dateien schätzt, erhält eine ordentliche Ordnerstatistik. Über die Zahl der gehosteten Namen sagt sie nur begrenzt etwas aus.

Die aktuelle öffentliche Preisliste führt mitgebrachte Zertifikate zusammen mit Managed TLS einer gemeinnützigen Zertifizierungsstelle. Für den tatsächlichen Betrag fehlen Kontofreimenge, Aktivierungsliste am Monatsende und Vertragspreis. Der Besitz der Datei allein befreit den gehosteten Namen nicht von der Zählung.

Außerdem bleibt Arbeit zurück: Fristen verfolgen, Ersatz beschaffen und die Anwendung auf die benötigten Namen kontrollieren. Der Kunde kann diese Arbeit selbst übernehmen und zugleich für den gehosteten TLS-Dienst zahlen. Beides gehört in die Beschaffungsrechnung.

Nach der letzten Erinnerung bleibt die Entscheidung

Ein nützlicher Name braucht ein neues gültiges Zertifikat; ein aufgegebener Name eine freigegebene Beendigung. Die Mitteilungen haben ihr Ende erreicht. Der Betreiber muss den Zweck des Namens noch klären und die passende Handlung ausführen.

Ein abgelaufenes Zertifikat liefert keine gültige TLS-Identität. Hat derselbe Name ein weiteres gültiges Zertifikat, beweist der Ablauf einer Datei noch keinen vollständigen Dienstausfall. Umgekehrt bestätigt ein weiter gezählter Name keine gesunde Verbindung. Für die Zählung genügt die Aktivierung am Monatsende. Der Kunde braucht eine gültige, nutzbare Verbindung.

Auch Aufräumen greift in Produktion ein. Werden sämtliche Zertifikatsaktivierungen einer Domain deaktiviert, liefert Fastly dort keinen TLS-Verkehr mehr aus. Vor dem Löschen eines selbst verwalteten Zertifikats muss TLS für alle darauf befindlichen Domains deaktiviert sein. Eine geteilte Datei kann mehrere noch verkaufte Leistungen tragen.

Sparen beginnt deshalb bei den tatsächlichen Abhängigkeiten und den Namen, deren Zweck beendet ist. Das Ablaufdatum als Löschauftrag zu behandeln kann eine leicht sichtbare Gebühr gegen einen viel sichtbareren Lieferfehler tauschen.

Die Urkunde und ihr Betrieb

Die Voraussetzungen für TLS umfassen passende Verwaltungsrechte, die Möglichkeit zur Änderung relevanter DNS-Einträge und Domains in einem korrekt eingerichteten Dienst. Für die eigene Verwaltung kommen gültiges Zertifikat und passender Schlüssel hinzu. Die Datei ist ein Teil der Betriebsfähigkeit.

Beim von Fastly verwalteten Weg übernimmt die Plattform Beschaffung und Erneuerung über ACME. DNS- oder CAA-Bedingungen können die Verlängerung verhindern. Ein automatischer Versuch beweist weder aktuelle Gültigkeit noch eine Änderung der Domainaktivierung für die Monatszählung.

Der Vergleich der Wege betrifft daher Arbeit und Berechtigungen. Welche Aufgaben verschwinden beim Kunden, welche müssen weiterhin von ihm freigegeben und kontrolliert werden? Die Entscheidung, einen Namen weiter zu betreiben oder zurückzunehmen, bleibt eine Entscheidung über die verkaufte Leistung. Sie verschwindet nicht, wenn jemand anderes das nächste Zertifikat beschafft.

Gleicher Arbeitsname, anderer Vertrag

Die Voraussetzungen nennen zudem den alten Customer-Provided TLS Certificate Hosting Service. Ein Update eines bereits hochgeladenen Zertifikats kann diesen Dienst ohne Rechnungsänderung fortführen. Wird das alte Zertifikat entfernt und ein neues über Fastly TLS hochgeladen, zählt das neue im aktuellen Produkt. Das alte wird gemäß der anwendbaren Vertragsdauer weiter berechnet.

Die Technik kann beides unter Erneuerung verbuchen. Der Kostenverantwortliche muss den gewählten Produktweg kennen. Das Anlegen einer neuen Ressource beendet nicht von selbst eine früher vereinbarte Laufzeit. Zum Abschluss der Arbeit gehört deshalb die Kenntnis, welche Verpflichtung bleibt und welche Zähleinheit neu hinzukommt.

Zertifikatsgültigkeit, aktivierter Name und Zahlungsdauer bilden drei Register eines einzigen Kundenversprechens. Die benötigten Namen sollen mit gültiger Identität antworten. Die nicht mehr benötigten sollen mit Kenntnis ihrer Abhängigkeiten beendet werden. Der Betreiber muss beides organisieren, ohne die gemeinsame Datei mit einer einzigen gemeinsamen Leistung zu verwechseln.

Das Zertifikat hat sein Datum. Der gehostete Name braucht einen Verantwortlichen bis zum letzten aktiven Eintrag. Wenn die Erinnerungsmails enden, sollte die Entscheidung bereits vorliegen. Sonst wird gerade der leiseste Teil des Bestands zum dauerhaft übersehenen Teil der Kosten.