Ein Werkzeug, das die BIG-IP
so liest wie Sie.

CertFlow ist kein generischer Zertifikats-Scanner. Es spricht iControl REST, kennt Partitionen, Profilvererbung und HA-Paare und behandelt Schreibzugriffe mit dem Respekt, den eine produktive BIG-IP verdient.

Monitoring: die ganze Kette, nicht nur das Datum

Jeder Scan liest Zertifikate, Client-SSL-Profile und Virtual Server und setzt sie in Beziehung. Sie sehen nicht nur „läuft in 14 Tagen ab", sondern was dann konkret ausfällt.

  • Read-only per iControl REST: ein Auditor-Konto genügt, keine Agents, keine Config-Änderung.
  • HA-Paare dedupliziert: ein Cluster erscheint als ein Gerät, Fingerprint-basiert.
  • Partitionen & Vererbung: auch Zertifikate, die Profile über defaultsFrom erben, werden korrekt zugeordnet.
  • Historie eingebaut: first seen / last seen je Zertifikat. Entferntes wird markiert, nicht gelöscht.

Alerts, die man nicht wegfiltert

Ablauf-Warnungen eskalieren in Stufen und melden sich genau einmal pro Stufe. Kein tägliches Rauschen, das im Postfach-Filter endet, sondern ein Signal, wenn es zählt.

  • E-Mail, Slack, Microsoft Teams: dahin, wo Ihr Team ohnehin arbeitet.
  • Eskalationsstufen: früh informieren, spät alarmieren. Schwellen frei konfigurierbar.
  • Einmal pro Stufe: jede Meldung ist neu und relevant.

60 Tage vorher

Hinweis an #netops: „*.shop.beispiel.de läuft in 60 Tagen ab."

30 Tage vorher

Warnung inkl. Impact: 12 Virtual Server betroffen, HA-Paar „prod".

7 Tage vorher

Kritisch, zusätzlich per E-Mail an die Rufbereitschaft.

Der Tausch: reversibel statt riskant

CertFlow tauscht nach dem Prinzip „neu anlegen, Profil umbiegen": Das alte Zertifikat bleibt unangetastet auf dem Gerät. Schlägt die Verifikation fehl, biegt der Rollback das Profil einfach zurück.

  • Validierung vor dem ersten Schreibzugriff: passt der Schlüssel zum Zertifikat, deckt der Name alle Hostnames ab (inkl. Wildcards), ist die Kette vollständig?
  • Blast Radius: vor dem Ausführen zeigt CertFlow, welche Profile beschrieben werden und welche nur mit-erben. Vererbte Profile werden nie angefasst.
  • Verifikation auf der Leitung: nach dem Tausch prüft CertFlow per echtem TLS-Handshake, dass das neue Zertifikat ausgeliefert wird.
  • Config-Sync überwacht: der Sync zum HA-Partner wird aktiv nachverfolgt, bis er wirklich „In Sync" ist.

Sicherheit ist Architektur, kein Feature

CertFlow ist für Management-Netze gebaut, die vom Internet aus nicht erreichbar sind. Alles läuft bei Ihnen, unter Ihren Regeln.

  • Self-hosted im Docker-Container: non-root, Healthcheck, ein Volume für alle Daten.
  • Getrennte Konten für Lesen und Schreiben: Monitoring mit Auditor-Rolle. Der Tausch ist ein Opt-in je Gerät mit eigenen Zugangsdaten.
  • Dashboard-Login gehärtet: moderne Passwort-Hashes (scrypt), CSRF-Schutz, Session-Cookies httponly.
  • Audit-Log: jeder Schreibvorgang mit Benutzer und Zeitstempel, auch per API abrufbar.
  • Lizenzcheck offline-fähig: keine Verbindung nach Hause nötig.

Berechtigungen, ehrlich dokumentiert

Monitoring: Auditor genügt. Zertifikatstausch: Resource Administrator, weil dabei Client-SSL-Profile angefasst werden. Die Certificate-Manager-Rolle reicht dafür nicht aus, und CertFlow sagt Ihnen das, statt es zu verschweigen.

Systemanforderungen

Docker-Host mit Zugriff aufs Management-Netz · F5 BIG-IP mit iControl REST · Browser für das Dashboard. Mehr nicht.

Testen Sie CertFlow gegen Ihre eigenen BIG-IPs

30 Tage kostenlos, voller Funktionsumfang, self-hosted in Ihrem Netz. Danach wissen Sie, ob CertFlow zu Ihrer Umgebung passt.

Kostenlos testen