SaQura CertWatch — はじめに（Linux）

動作要件: 64ビット Linux。このアーカイブは2つのアーキテクチャで提供されます:
SaQura-CertWatch-Linux.tar.gz（x86-64）と SaQura-CertWatch-Linux-arm64.tar.gz
（arm64、例: Graviton/Ampere/Raspberry Pi）。必要な方は
  uname -m   で確認できます（x86_64 または aarch64）。

1. このフォルダを任意の場所に展開します。
2. ターミナルで:  ./CertWatch.Server
   — 画面: http://127.0.0.1:5210（初回起動時はブラウザでこのアドレスを
   開き、パスワードを設定します）。

別のポートを使う場合（5210 が使用中のとき）: appsettings.json の
Urls 行を変更し（例: http://127.0.0.1:5211）、ウォッチャーを再起動
してください。

その後、ドメイン（例: your-domain.co.jp）を登録してください。CertWatch は
すぐに検査を行い、同じドメインで見つかった他の証明書も候補として提案し、
以降は毎日自動で検査します。項目をクリックすると詳細画面
（証明書チェーン、失効状態、評価の理由）が開きます。

メール送信の設定: 歯車アイコン（⚙）→ メールサーバー・差出人・宛先を
入力 → 「テストメールを送信」。再起動なしで即時に有効になり、
アップデート後も保持されます。メール送信を設定しなくても、すべての情報は
画面と data/outbox フォルダで確認できます。

常時稼働（推奨）: 同梱の certwatch.service は systemd のテンプレートです。
パスを調整して /etc/systemd/system/ にコピーし、次を実行してください:
  sudo systemctl enable --now certwatch

ログの場所: サービスとして動作している場合、ウォッチャーは journald に
記録します —  journalctl -u certwatch  で読めます（各検査の評価と理由、
各アラート）。ターミナルで起動した場合は同じ出力がターミナルに表示されます。

新しいバージョンへの更新: ウォッチャーを終了し、新しいフォルダを隣に
展開し、次のコマンドのとおりに状態を引き継いでください（新しいフォルダに
すでに data/ がある場合 — 試運転の後など — は先にそれを削除してください。
削除しないと状態が data/data に入ってしまい、ウォッチャーは空で起動します）:
   rm -rf 新フォルダ/data
   cp -a 旧フォルダ/data 新フォルダ/
その後で旧フォルダを削除してください。ウォッチャーをサービスユーザー
（User=certwatch）で運用している場合は、新フォルダの所有者を戻します:
   sudo chown -R certwatch:certwatch 新フォルダdata/ にはパスワード、検査履歴、
メール設定、レポートチェーンなど、すべての状態が保存されています。

封印済みレポートは2つの方法で入手できます。歯車（⚙）→「封印済みレポート」→
「今すぐ作成」、または定期送信時に自動で作成されます。作成後は data/reports
フォルダーに保存され、レポートメールにファイルとして添付されます。

レポートを検証する（CertWatch なしでも可能）:
封印済みレポートには、上部に記録番号と内容のチェックサムが記載されています。
検証する側だけで計算し直せます。HTML ファイル内で data-seal を検索し、2つの
目印にはさまれた部分を UTF-8 のまま SHA-256 で計算すると、記載のチェックサムと
一致します。連鎖記録まで含めた完全な検証は、そのレポートを作成した
インストール先のフォルダーで次を実行してください:
   ./CertWatch.Server --verify-report report.html
「レポートは変更されていません。内容・記録番号・連鎖記録のすべてが一致しました。」
と表示されれば、ファイルは変更されていません。ブラウザーで表示するだけの
レポートは、意図的に未封印です。
検証は必ず「ファイル」に対して行ってください（メールソフトの表示ではありません）。
定期送信ではレポートがファイルとしてメールに添付され、同じファイルがレポート
フォルダーにも保存されます。メールソフトの表示は描画であり、HTML が書き換えられる
ことがあります。その場合、チェックサムが一致しないのは当然です。

警告のタイミングを変更する（任意）: 残り 30 日で「監視」、14 日で「中」、7 日で
「高」、1 日で「重大」と判定します。証明書を手作業で取得している場合は、最初の警告を
早めるとよいでしょう。値は appsettings.json の CertWatch セクションにある
WarnDaysWatch / WarnDaysMedium / WarnDaysHigh / WarnDaysCritical（日数）です。
変更後はウォッチドッグを再起動してください。一覧の信号表示も同じ値に従います。

パスワードを忘れた場合:  ./CertWatch.Server --reset-password
  は一度確認したうえでアクセス情報を削除し、終了します。そのあとウォッチドッグを
  再起動し、ブラウザで新しいパスワードを設定してください。データはそのまま残ります。
  スクリプト（端末なし）では --yes を付けて実行してください。
無人セットアップ（スクリプト用）: 初回起動前に
  CERTWATCH_PASSWORD=<8文字以上>  を設定するとブラウザでの設定なしで
  パスワードが適用されます（CERTWATCH_NO_BROWSER=1 でブラウザの自動起動を
  抑止できます）。

Linux ではすべての検査が完全に動作します — TLS 1.3 と失効状態
（OCSP/CRL）の検査を含みます。常時稼働には Linux を推奨します。

終了するには: ターミナルで Ctrl+C（または systemctl stop certwatch）。


ライセンス条件・第三者コンポーネント・プライバシー
------------------------------------------------
本パッケージには次の3つのファイルが含まれています。
  LICENSE.txt ................ 使用許諾契約（EULA）。CertWatch で何ができるかを
                               定めています。ドイツ語版が優先し、英語版と
                               日本語版を併載しています。
  THIRD-PARTY-NOTICES.txt .... 製品に含まれる第三者コンポーネント（.NET ランタイム、
                               SQLite）とそのライセンス。
  PRIVACY.txt ................ CertWatch がお客様のシステムに保存する内容と、
                               外部への接続について。

ご質問・不具合・ライセンスに関するお問い合わせ: support@kyototech.co.jp
