シェルスクリプトでSSL証明書の有効期限を自動監視する設計｜opensslとcronで期限切れを防ぐ実践パターン

この記事のポイント

・openssl s_clientで証明書の残日数を取得しシェル変数で管理できる
・set -euo pipefailとtrapを組み合わせて失敗を確実に検知できる
・30日前・7日前など警告レベルを分けてメール通知の優先度を設計できる
・複数ドメインをファイル管理して一括チェックするスクリプトを構築できる

# ドメインの証明書有効期限を取得する
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
  | openssl x509 -noout -enddate

# 出力例
notAfter=Sep 14 12:00:00 2026 GMT

#!/bin/bash
HOST="example.com"

# 有効期限の取得（「notAfter=...」の値を切り出す）
expire_str=$(echo | openssl s_client -connect "${HOST}:443" -servername "${HOST}" 2>/dev/null \
  | openssl x509 -noout -enddate | cut -d= -f2)

# エポック秒に変換して差分を計算
expire_epoch=$(date -d "${expire_str}" +%s)
today_epoch=$(date +%s)
days_left=$(( (expire_epoch - today_epoch) / 86400 ))

echo "${HOST}: 残 ${days_left} 日"
# 出力例: example.com: 残 30 日

#!/bin/bash
# cert-monitor.sh - SSL証明書有効期限監視スクリプト
# 動作確認: RHEL 9.4 / Ubuntu 24.04 LTS

set -euo pipefail

# 設定値（環境に合わせて変更する）
WARN_DAYS_CRITICAL=7       # 緊急アラートの閾値（日）
WARN_DAYS_WARNING=30       # 警告アラートの閾値（日）
ALERT_TO="admin@example.com"
LOG_FILE="/var/log/cert-monitor.log"
DOMAIN_LIST="/etc/cert-monitor/domains.txt"

# ワーク用一時ファイル（trapで確実に削除する）
TMPFILE=""

cleanup() {
    [[ -n "${TMPFILE:-}" ]] && rm -f "${TMPFILE}"
}
trap cleanup EXIT ERR

TMPFILE=$(mktemp /tmp/cert-monitor.XXXXXX)

# ログ出力関数（標準出力とログファイルの両方に書く）
log() {
    local level="$1"
    shift
    echo "[$(date '+%Y-%m-%d %H:%M:%S')] [${level}] $*" | tee -a "${LOG_FILE}"
}

# 証明書の残日数を返す関数（取得失敗時は -1 を返す）
get_days_left() {
    local host="$1"
    local expire_str

    # timeout 10 で接続タイムアウトを設定する
    expire_str=$(timeout 10 bash -c \
        "echo | openssl s_client -connect ${host}:443 -servername ${host} 2>/dev/null \
        | openssl x509 -noout -enddate" 2>/dev/null | cut -d= -f2) || {
        echo "-1"
        return
    }

    if [[ -z "${expire_str}" ]]; then
        echo "-1"
        return
    fi

    local expire_epoch today_epoch
    expire_epoch=$(date -d "${expire_str}" +%s 2>/dev/null) || { echo "-1"; return; }
    today_epoch=$(date +%s)

    echo $(( (expire_epoch - today_epoch) / 86400 ))
}

# メール通知関数
send_alert() {
    local host="$1"
    local days="$2"
    local level="$3"
    local subject="【SSL証明書${level}】${host}: 残${days}日"

    log "ALERT" "${subject}"

    {
        echo "${host} のSSL証明書が ${days} 日後に期限切れになります。"
        echo "更新作業を実施してください。"
        echo ""
        echo "確認コマンド:"
        echo "  echo | openssl s_client -connect ${host}:443 -servername ${host} 2>/dev/null \"
        echo "    | openssl x509 -noout -dates"
        echo ""
        echo "実行日時: $(date '+%Y-%m-%d %H:%M:%S')"
    } | mail -s "${subject}" "${ALERT_TO}"
}

# 残日数に応じて通知を分岐する関数
check_and_alert() {
    local host="$1"
    local days

    days=$(get_days_left "${host}")

    if [[ "${days}" -eq -1 ]]; then
        log "ERROR" "${host}: 証明書取得失敗（接続エラーまたは証明書なし）"
        send_alert "${host}" "不明" "取得エラー" || true
        return
    fi

    log "INFO" "${host}: 残 ${days} 日"

    if [[ "${days}" -le "${WARN_DAYS_CRITICAL}" ]]; then
        send_alert "${host}" "${days}" "緊急"
    elif [[ "${days}" -le "${WARN_DAYS_WARNING}" ]]; then
        send_alert "${host}" "${days}" "警告"
    fi
}

# /etc/cert-monitor/domains.txt の内容例
# 1行1ドメイン。# で始まる行はコメントとしてスキップされる
example.com
www.example.com
api.example.com
# shop.example.com   # 一時停止中

# メイン処理
main() {
    log "INFO" "証明書監視を開始します"

    if [[ ! -f "${DOMAIN_LIST}" ]]; then
        log "ERROR" "ドメインリストが見つかりません: ${DOMAIN_LIST}"
        exit 1
    fi

    local error_count=0

    while IFS= read -r host || [[ -n "${host}" ]]; do
        # 空行とコメント行をスキップ
        [[ -z "${host}" || "${host}" =~ ^# ]] && continue

        check_and_alert "${host}" || (( error_count++ )) || true
    done < "${DOMAIN_LIST}"

    log "INFO" "証明書監視が完了しました（エラー数: ${error_count}）"
}

main

# スクリプトの配置と権限設定
sudo install -m 750 -o root cert-monitor.sh /opt/scripts/cert-monitor.sh

# ドメインリストの作成
sudo mkdir -p /etc/cert-monitor
sudo tee /etc/cert-monitor/domains.txt << 'DOMAINS'
example.com
www.example.com
api.example.com
DOMAINS

# cronへの登録（毎朝9時に実行）
# sudo crontab -e で以下の1行を追加する:
# 0 9 * * * root /opt/scripts/cert-monitor.sh 2>&1

# /etc/logrotate.d/cert-monitor
/var/log/cert-monitor.log {
    daily
    rotate 30
    compress
    missingok
    notifempty
}

# テスト実行
sudo /opt/scripts/cert-monitor.sh

# ログ確認
tail -f /var/log/cert-monitor.log

# 実行結果の例
[2026-08-15 09:00:01] [INFO] 証明書監視を開始します
[2026-08-15 09:00:03] [INFO] example.com: 残 82 日
[2026-08-15 09:00:05] [INFO] www.example.com: 残 82 日
[2026-08-15 09:00:07] [INFO] api.example.com: 残 29 日
[2026-08-15 09:00:07] [ALERT] 【SSL証明書警告】api.example.com: 残29日
[2026-08-15 09:00:09] [INFO] 証明書監視が完了しました（エラー数: 0）

# Slack Webhookで通知する場合の例
SLACK_WEBHOOK="https://hooks.slack.com/services/T00000000/B00000000/XXXXXXXXXXXXXXXX"

send_slack_alert() {
    local message="$1"
    curl -s -X POST -H 'Content-type: application/json' \
        --data "{"text": "${message}"}" \
        "${SLACK_WEBHOOK}" > /dev/null
}