- Spegnimento
- 22 luglio 2026 alle ore 14:26 UTC
- Autore
- Kamo
- Impegno
- f62bccf
update tls store() ha ricostruito il TLSStore da una semplice lista segreta, secchi solo sul nome prefisso e tipo, senza controllo che un certificato possedesse ancora il segreto e nessun controllo di nonDopo. jolly-kamocrm-com è stato orfano quando assicura host certificate() rinominato kamocrm-com-cert da wildcard-kamocrm-com a tls-kamocrm-com: deriva cert name puramente dal FQDN, e il suo primo ritorno confronta dnsNames e privateKey ma mai secretName, quindi l'applicazione riwrote spec.secret Nome in posizione. cert-manager non cancella un segreto che è stato rinominato via da, quindi nulla ha rinnovato il vecchio. Esso è scaduto 2026-07-20 e — ancora essendo ripubblicato nel negozio ogni riconciliazione — ha vinto SNI sopra il fresco per-host per tutti i 16 nomi elencati. Non e' vero. capcha.kamocrm.com ciascuno ha servito un certificato scaduto mentre un valido, inespirato sostituto seduto inutilizzato nello stesso negozio. update tls store() ora: - esclude qualsiasi passato segreto nonDopo, controllato con `openssl -checkend 0` piuttosto che 30 giorni è cert expired(), quindi un cert nella sua finestra di rinnovamento non è mai espulso da Traefik mentre ancora valido - esclude segreti legacy wildcard-* che nessun certificato possiede - gocce legacy certs multi-SAN i cui nomi sono completamente coperti da per-host certs, eliminando la copertura SNI duplicata invece di affidarsi al negozio ordinando di rompere la cravatta Tutte e tre le guardie non si aprono, quindi una ricerca fallita o un cert illeggibile conserva comportamento attuale e non può mai cadere un cert live. assicurare host certificate() ora registra quando nomina un Certificato, quindi gli orfani futuri sono visibili piuttosto che silenziosa. Verificato contro un'istantanea di stato del cluster vivo: 177 -> 165 certificati, tutte le 12 entrate multi-SAN legacy in pensione (6 scaduto, 6 completamente superato), e Nessun host live perde copertura.