Mobiele app pinde een cert, expiry komt eraan, app breekt zonder update
Cert pinning hardcodet een specifiek certificaat of public key in een app. Sterk tegen MitM, maar bij rotatie zonder pre-deployed nieuwe pin breekt elke geïnstalleerde app. Voor moderne webapps wordt het zelden meer gebruikt, voor mobiele apps soms nog.
Probeer dit eerst zelf
- 1Inventariseer of er pinning actief is: native iOS/Android-app van vendor, of HPKP-headers (gedeprecieerd voor browsers maar nog mogelijk).
- 2Als pinning actief is: pin op de public key (SPKI), niet op het hele cert. Public key kun je over rotaties heen behouden.
- 3Pin minimaal twee keys: huidige plus een back-up die nog niet in gebruik is. Bij rotatie heb je marge.
- 4Bouw een mobiele update-pad uit: voor je het cert wisselt, push je een app-update met de nieuwe pin. Pas na 95 procent app-adoptie wissel je het cert.
- 5Voor browsers: HPKP is gedeprecieerd, gebruik HSTS plus CT-monitoring voor vergelijkbare bescherming zonder lock-out-risico.
Wanneer ons inschakelen
Heb je een mobiele app met pinning en een cert-expiry binnen 30 dagen, dan helpen we de rotatie plannen voordat de app zwart gaat.
Zie ook
- Domein vervalt morgen en niemand had de mail gezienEen vervallen domein gaat niet direct naar een ander. Er zit een redemption-window omheen, maar je betaalt extra.
- Twijfel of auto-renew aan moet of nietAuto-renew uitzetten is alleen zinvol bij domeinen die je echt loost. Voor alles wat live is, gewoon aan.
- Nieuwe registrar vraagt om auth-code, weet niet waar die staatEPP-code of transfer-code is het wachtwoord om een domein van registrar A naar B te verhuizen.
Past het bovenstaande niet?
Beschrijf je situatie hieronder. We sturen jouw input plus de stappen die je al zag naar onze AI en geven gericht vervolg-advies. Als het te risicovol is om zelf te doen, zeggen we dat ook.
Of doe het helemaal niet zelf
Onze Managed IT-klanten zoeken dit soort vragen niet op. Eén aanspreekpunt, vaste prijs per maand, en het is binnen werktijd opgelost.