Zertifikate auf der BIG-IP.
Gesehen, bevor sie ablaufen.

CertFlow überwacht jedes TLS-Zertifikat auf Ihren F5 BIG-IPs, zeigt, welche Virtual Server betroffen sind, und tauscht Zertifikate mit Dry-Run und Rollback. Self-hosted in Ihrem Netz.

Kostenlos testen Produkt ansehen

30 Tage kostenlos testen · Läuft als Docker-Container · Keine Cloud-Verbindung nötig

certflow — dashboard

Zertifikat	Gerät	Virtual Server	Läuft ab	Status
*.shop.beispiel.de	bigip-prod (HA-Paar)	12	in 6 Tagen	Kritisch
api.beispiel.de	bigip-prod (HA-Paar)	3	in 21 Tagen	Warnung
portal.beispiel.de	bigip-dmz-01	5	in 74 Tagen	OK
intern.beispiel.de	bigip-dmz-01	2	in 148 Tagen	OK

Das abgelaufene Zertifikat ist nie das erste Problem.
Es nicht kommen zu sehen, ist es.

Wer 2–10 BIG-IPs betreibt, kennt den Zustand: Die Wahrheit über Zertifikate liegt verteilt über Geräte, Partitionen und eine Excel-Liste, die beim letzten Audit zuletzt stimmte.

Der Ausfall kommt nachts

Ein Zertifikat läuft still ab, der nächste Failover serviert es an Kunden aus. Der erste Alarm kommt vom Servicedesk.

Generische Scanner sehen die F5 nicht

Externe Scans finden das ausgelieferte Zertifikat, aber nicht das Profil dahinter: nicht die Vererbung, nicht das HA-Paar, nicht die Partition.

Enterprise-Suiten sind eine Nummer zu groß

Venafi & Co. lohnen sich ab hunderten Geräten. Für den Mittelstand mit einer Handvoll BIG-IPs bleibt: Handarbeit.

In 10 Minuten produktiv

CertFlow läuft als Container in Ihrem Management-Netz. Keine Agents auf der BIG-IP, keine Änderung an der Konfiguration.

Container starten
docker compose up -d auf einer VM oder einem Docker-Host mit Zugriff aufs Management-Netz. Fertig installiert.
Auditor-Account verbinden
CertFlow liest per iControl REST mit einem reinen Lesekonto (Auditor-Rolle). Schreibzugriff bleibt aus, bis Sie ihn ausdrücklich freischalten.
Überwachen & tauschen
Dashboard, Ablauf-Alerts nach Eskalationsstufen und, wenn Sie so weit sind, der geführte Zertifikatstausch mit Rollback.

Monitoring, das die F5 wirklich versteht

CertFlow liest nicht nur Ablaufdaten. Es folgt der Kette vom Zertifikat über das Client-SSL-Profil bis zum Virtual Server, inklusive Profilvererbung und HA-Paaren, ohne Duplikate.

Impact-Kette: welche Virtual Server hängen an diesem Zertifikat?
HA-bewusst: ein Cluster ist ein Gerät, kein doppelter Alarm.
Alerts mit Eskalation: E-Mail, Slack oder Teams. Einmal pro Stufe, kein Spam.

$ certflow scan

verbinde bigip-prod-01 … bigip-prod-02 (HA-Paar erkannt)

gefunden: 47 Zertifikate · 31 Client-SSL-Profile · 58 Virtual Server

✗ *.shop.beispiel.de läuft in 6 Tagen ab → betrifft 12 Virtual Server

! api.beispiel.de läuft in 21 Tagen ab → betrifft 3 Virtual Server

✓ 45 weitere unkritisch

alert: stufe „kritisch" → slack #netops (einmalig)

Tauschen mit Sicherheitsnetz

Der Tausch-Assistent validiert alles, bevor irgendetwas passiert, und arbeitet reversibel: neues Zertifikat anlegen, Profil umbiegen, Auslieferung prüfen. Schlägt etwas fehl, rollt CertFlow automatisch zurück.

Vollständige Validierung: Key-Paarung, Namensabdeckung inkl. Wildcards, Zertifikatskette.
Blast Radius vorab: welche Profile werden beschrieben, welche erben nur mit.
Dry-Run, Rollback, Audit-Log: jeder Schritt nachvollziehbar, jeder Schritt umkehrbar.

1 · Validierung

Schlüssel passt · Namen abgedeckt · Kette vollständig

2 · Blast Radius

2 Profile werden umgestellt · 3 erben automatisch mit · 12 Virtual Server betroffen

3 · Tausch & Verifikation

Neues Zertifikat aktiv · TLS-Handshake geprüft · Config-Sync „In Sync" · Rollback bereit

Gebaut für Netze, die nie das Internet sehen

Management-Netze gehören nicht in die Cloud. CertFlow ist deshalb konsequent self-hosted: Ihre Zugangsdaten und Zertifikate verlassen Ihr Haus nicht.

Self-hosted

Ein Docker-Container in Ihrem Netz. Keine Cloud-Verbindung, kein Telemetrie-Zwang, non-root, Healthcheck inklusive.

Read-only per Design

Monitoring läuft mit der Auditor-Rolle. Schreibzugriff ist ein bewusster Opt-in je Gerät — mit eigenen Zugangsdaten.

Sicher im Betrieb

Lizenz offline-fähig

Der Lizenzcheck braucht kein Internet. Und nach Ablauf bleiben Dashboard und Daten erhalten, nichts geht kaputt.

Preise, die zu 2–10 BIG-IPs passen

30 Tage kostenlos testen, dann pro Gerät bezahlen, HA-Paare fair gerechnet. Keine Mindestlaufzeit über das gewählte Abo hinaus.

Trial

Voller Funktionsumfang, bis 2 Geräte

0 €

30 Tage

Standalone

Pro Gerät

ab 58 € / Monat

bei jährlicher Zahlung

Cluster

Pro HA-Paar

ab 91 € / Monat