SaQura CertWatch — Start (Linux)

Voraussetzung: 64-bit-Linux. Dieses Archiv gibt es für zwei Architekturen:
SaQura-CertWatch-Linux.tar.gz (x86-64) und SaQura-CertWatch-Linux-arm64.tar.gz
(arm64, z. B. Graviton/Ampere/Raspberry Pi). Welche Sie brauchen, sagt
  uname -m   (x86_64 bzw. aarch64).

1. Ordner an einen beliebigen Ort entpacken.
2. Im Terminal:  ./CertWatch.Server
   — Oberfläche: http://127.0.0.1:5210 (beim allerersten Start öffnen Sie die
   Adresse im Browser und legen Ihr Passwort fest).

Anderer Port (falls 5210 belegt ist): in appsettings.json die Zeile
"Urls" ändern (z. B. http://127.0.0.1:5211), dann den Wächter neu starten.

Danach: Domain eintragen (z. B. ihre-domain.de) — CertWatch prüft sie sofort,
schlägt weitere gefundene Zertifikate Ihrer Domain gleich mit vor und prüft
ab dann täglich. Ein Klick auf einen Eintrag öffnet die Detail-Sicht
(Zertifikatskette, Sperrstatus, Begründung der Note).

Mail-Versand einrichten: Zahnrad (⚙) → Mail-Server, Absender und Empfänger
eintragen → „Testmail senden". Gilt sofort, ohne Neustart — und bleibt bei
Updates erhalten. Ohne Mail-Versand sehen Sie alles in der Oberfläche und
im Ordner data/outbox.

Dauerbetrieb als Dienst (empfohlen): Die beigelegte Datei certwatch.service
ist eine systemd-Vorlage — Pfade anpassen, nach /etc/systemd/system/ kopieren,
dann:  sudo systemctl enable --now certwatch

Wo das Protokoll liegt: Im Dienstbetrieb schreibt der Wächter nach journald —
lesen mit  journalctl -u certwatch  (jede Prüfung mit Note und Grund, jeder
Alarm). Im Terminal-Betrieb steht dieselbe Ausgabe im Terminalfenster.

Update auf eine neue Version: Wächter beenden, neuen Ordner daneben entpacken,
dann den Bestand WÖRTLICH so übernehmen (erst prüfen, ob im neuen Ordner schon
ein data/ liegt — etwa nach einem Probestart — und diesen zuerst löschen,
sonst landet Ihr Bestand als data/data und der Wächter startet leer):
   rm -rf NEUER-ORDNER/data
   cp -a ALTER-ORDNER/data NEUER-ORDNER/
DANN erst den alten Ordner löschen. Läuft der Wächter als Dienst-Nutzer
(User=certwatch), gehört der neue Ordner ihm zurück:
   sudo chown -R certwatch:certwatch NEUER-ORDNER data/ enthält Ihren gesamten Bestand —
Passwort, Prüfstände, Mail-Einstellungen und die Berichtskette.

Einen versiegelten Bericht bekommen Sie auf zwei Wegen: Zahnrad (⚙) →
„Versiegelter Bericht" → „Jetzt erzeugen", oder automatisch beim Turnus-Versand.
Er liegt danach im Ordner data/reports und hängt der Berichts-Mail als Datei an.

Einen Bericht prüfen (auch ohne CertWatch):
Jeder versiegelte Bericht nennt oben eine Protokoll-Nummer und eine Prüfsumme
über seinen Inhalt. Nachrechnen kann das jeder Prüfer selbst: In der HTML-Datei
nach data-seal suchen — der Text zwischen den beiden Marken ergibt als UTF-8
mit SHA-256 genau die genannte Prüfsumme. Die vollständige Prüfung mitsamt der
Kette macht der Wächter, im Ordner der Installation, aus der der Bericht stammt:
   ./CertWatch.Server --verify-report bericht.html
Antwortet er „Bericht unverändert. Inhalt, Protokoll-Nummer und Prüfkette
stimmen überein.", ist die Datei unverändert. Berichte, die Sie nur im Browser
ansehen, sind bewusst nicht versiegelt.
Prüfen Sie immer die DATEI, nicht die Anzeige im Mailprogramm: Der Turnus-Versand
legt den Bericht der Mail als Datei bei, und dieselbe Datei liegt im Berichts-
ordner. Was ein Mailprogramm anzeigt, ist eine Darstellung — es darf HTML
umschreiben, und dann stimmt die Prüfsumme zu Recht nicht mehr.

Vorwarnzeiten ändern (freiwillig): CertWatch stuft ab 30 Tagen Restlaufzeit als
„Beobachtung" ein, ab 14 als „Mittel", ab 7 als „Hoch", ab 1 als „Kritisch". Wer
Zertifikate von Hand beschafft, braucht die erste Warnung früher. Die Werte stehen in appsettings.json
unter CertWatch: WarnDaysWatch / WarnDaysMedium / WarnDaysHigh / WarnDaysCritical
(Tage); nach dem Ändern den Wächter neu starten. Die Ampel in der Übersicht folgt
demselben Wert.

Passwort vergessen?  ./CertWatch.Server --reset-password
  fragt einmal nach, löscht den Zugang und beendet sich. Starten Sie den Wächter
  danach wieder und legen Sie im Browser ein neues Passwort fest. Ihr Bestand
  bleibt unverändert. In Skripten (ohne Terminal) bestätigen Sie mit --yes.
Unbeaufsichtigte Einrichtung (Skripte):  CERTWATCH_PASSWORD=<mind. 8 Zeichen>
  beim ersten Start gesetzt übernimmt das Passwort ohne Browser-Dialog
  (CERTWATCH_NO_BROWSER=1 unterdrückt das automatische Browser-Öffnen).

Auf Linux sind alle Prüfungen voll aktiv — einschließlich TLS 1.3 und
Sperrstatus (OCSP/CRL). Linux ist die empfohlene Plattform für den
Dauerbetrieb.

Beenden: Strg+C im Terminal (bzw. systemctl stop certwatch).


Lizenzbedingungen, Drittkomponenten und Datenschutz
---------------------------------------------------
Diesem Paket liegen drei Dateien bei:
  LICENSE.txt ................ Endbenutzer-Lizenzvertrag (EULA) — was Sie mit
                               CertWatch tun dürfen. Deutsch ist bindend, eine
                               englische und eine japanische Fassung liegen bei.
  THIRD-PARTY-NOTICES.txt .... die enthaltenen Fremdbestandteile (.NET-Laufzeit,
                               SQLite) mit ihren Lizenzen.
  PRIVACY.txt ................ was CertWatch auf Ihren Systemen speichert und
                               welche Verbindungen es nach außen aufbaut.

Fragen, Störungen, Lizenzsachen: support@kyototech.co.jp
