SaQura CertWatch — Start (Windows)

1. Ordner an einen beliebigen Ort entpacken (der Ordner muss komplett bleiben).
2. Doppelklick auf „SaQura CertWatch" (das Q-Symbol) — die Überwachung startet
   im Hintergrund, und die Oberfläche öffnet sich im Browser. Beim allerersten
   Start legen Sie dort Ihr Passwort fest.
   Falls Windows-SmartScreen warnt: „Weitere Informationen" → „Trotzdem ausführen".
   Das laufende Protokoll steht in der Datei data\certwatch.log.

3. Q sichtbar machen (einmalig, empfohlen): Windows 11 blendet neue Symbole
   zunächst aus. Sie finden das Q über den Pfeil (^) in der Taskleiste, links
   neben Sprache, WLAN und Uhr. Damit es dort dauerhaft steht: Rechtsklick auf
   die Taskleiste → „Taskleisteneinstellungen" → Abschnitt „Weitere Symbole in
   der Taskleiste" → Schalter bei „SaQura CertWatch" einschalten.

Solange das Q da ist, läuft die Überwachung. Rechtsklick darauf:
  Dashboard öffnen      — Oberfläche im Browser (dasselbe tut ein Doppelklick)
  Protokoll öffnen      — data\certwatch.log
  Überwachung beenden … — fragt nach; erst danach hört das Prüfen auf.

Danach: Domain eintragen (z. B. ihre-domain.de) — CertWatch prüft sie sofort,
schlägt weitere gefundene Zertifikate Ihrer Domain gleich mit vor und prüft
ab dann täglich. Ein Klick auf einen Eintrag öffnet die Detail-Sicht
(Zertifikatskette, Sperrstatus, Begründung der Note).

Mail-Versand einrichten: Zahnrad (⚙) → Mail-Server, Absender und Empfänger
eintragen → „Testmail senden". Gilt sofort, ohne Neustart — und bleibt bei
Updates erhalten. Ohne Mail-Versand sehen Sie alles in der Oberfläche und
im Ordner data\outbox.

Dauerbetrieb rund um die Uhr (empfohlen für Server): Beim Abmelden oder
Neustart endet die Überwachung, weil sie zu Ihrer Anmeldung gehört. Wer sie
davon lösen will, richtet sie als Windows-Dienst ein — in der
Eingabeaufforderung ALS ADMINISTRATOR, Pfad anpassen:

  sc.exe create SaQuraCertWatch binPath= "\"C:\CertWatch\CertWatch.Server.exe\"" start= auto DisplayName= "SaQura CertWatch"
  sc.exe description SaQuraCertWatch "Ueberwacht Zertifikate und meldet Ablauf rechtzeitig."
  sc.exe start SaQuraCertWatch

Auch im Dienstbetrieb schreibt CertWatch weiter nach data\certwatch.log. Dort stehen
die Prüfungen mit ihrer Note, die ausgelösten Alarme mit Protokoll-Nummer und die
Störungen — jede Zeile mit Datum, Uhrzeit und Zeitzone. Die lückenlose Aufzeichnung
aller Vorgänge führt CertWatch daneben in der Prüfkette; sie sehen Sie in der
Oberfläche unter „Aktivität". Im
Windows-Ereignisprotokoll unter der Quelle „SaQura CertWatch" stehen nur die
Eckpunkte: Start des Dienstes und ernste Störungen. Wer nachsehen will, was der
Wächter getan hat, nimmt die Datei; das Ereignisprotokoll ist für die Überwachung
des Servers gedacht.
Die Oberfläche erreichen Sie wie gewohnt unter http://127.0.0.1:5210 —
auf diesem Rechner, denn CertWatch bindet sich bewusst nur lokal. Das Q im
Infobereich brauchen Sie im Dienstbetrieb nicht; ein Doppelklick öffnet dann
nur noch das Dashboard. Dienst wieder entfernen:
  sc.exe stop SaQuraCertWatch     und danach     sc.exe delete SaQuraCertWatch

Update auf eine neue Version: ZUERST die Überwachung beenden (Rechtsklick auf
das Q → „Überwachung beenden …"; im Dienstbetrieb: sc.exe stop SaQuraCertWatch),
dann den neuen Ordner daneben entpacken, den Ordner data\ aus dem alten Ordner
hinüberkopieren, DANN erst den alten Ordner löschen. data\ enthält Ihren
gesamten Bestand — Passwort, Prüfstände, Mail-Einstellungen und die
Berichtskette. Hinweis: Läuft die alte Überwachung noch, zeigt ein Doppelklick
auf die neue Version deren Dashboard.

Einen versiegelten Bericht bekommen Sie auf zwei Wegen: Zahnrad (⚙) →
„Versiegelter Bericht" → „Jetzt erzeugen", oder automatisch beim Turnus-Versand.
Er liegt danach im Ordner data/reports und hängt der Berichts-Mail als Datei an.

Einen Bericht prüfen (auch ohne CertWatch):
Jeder versiegelte Bericht nennt oben eine Protokoll-Nummer und eine Prüfsumme
über seinen Inhalt. Nachrechnen kann das jeder Prüfer selbst: In der HTML-Datei
nach data-seal suchen — der Text zwischen den beiden Marken ergibt als UTF-8
mit SHA-256 genau die genannte Prüfsumme. Die vollständige Prüfung mitsamt der
Kette macht der Wächter, im Ordner der Installation, aus der der Bericht stammt:
   CertWatch.Server.exe --verify-report bericht.html
Antwortet er „Bericht unverändert. Inhalt, Protokoll-Nummer und Prüfkette
stimmen überein.", ist die Datei unverändert. Berichte, die Sie nur im Browser
ansehen, sind bewusst nicht versiegelt.
Prüfen Sie immer die DATEI, nicht die Anzeige im Mailprogramm: Der Turnus-Versand
legt den Bericht der Mail als Datei bei, und dieselbe Datei liegt im Berichts-
ordner. Was ein Mailprogramm anzeigt, ist eine Darstellung — es darf HTML
umschreiben, und dann stimmt die Prüfsumme zu Recht nicht mehr.

Vorwarnzeiten ändern (freiwillig): CertWatch stuft ab 30 Tagen Restlaufzeit als
„Beobachtung" ein, ab 14 als „Mittel", ab 7 als „Hoch", ab 1 als „Kritisch". Wer
Zertifikate von Hand beschafft, braucht die erste Warnung früher. Die Werte stehen in appsettings.json
unter CertWatch: WarnDaysWatch / WarnDaysMedium / WarnDaysHigh / WarnDaysCritical
(Tage); nach dem Ändern den Wächter neu starten. Die Ampel in der Übersicht folgt
demselben Wert.

Passwort vergessen?  Rechtsklick auf das Q im Infobereich →
  „Passwort zurücksetzen …". Der Starter fragt nach, hält den Wächter kurz an,
  setzt den Zugang zurück und startet ihn wieder; danach legen Sie im Browser ein
  neues Passwort fest. Ihr Bestand bleibt unverändert, der Vorgang steht in der
  Prüfkette. Im Dienstbetrieb und in der Eingabeaufforderung geht auch weiterhin:
  CertWatch.Server.exe --reset-password
  (fragt nach, beendet sich danach — Wächter anschließend wieder starten;
  in Skripten mit --yes bestätigen).
  setzt den Zugang zurück; danach legen Sie im Browser ein neues Passwort fest.
Unbeaufsichtigte Einrichtung (Skripte):  set CERTWATCH_PASSWORD=<mind. 8 Zeichen>
  vor dem ersten Start gesetzt übernimmt das Passwort ohne Browser-Dialog
  (set CERTWATCH_NO_BROWSER=1 unterdrückt das automatische Browser-Öffnen).

Auf Windows sind alle Prüfungen voll aktiv — einschließlich TLS 1.3 und
Sperrstatus (OCSP/CRL).

Digitale Signatur: „SaQura CertWatch.exe" und CertWatch.Server.exe tragen ein
öffentlich vertrautes Zertifikat auf „KyotoTech LLC", ausgestellt über den
Signaturdienst von Microsoft (Aussteller „Microsoft ID Verified CS EOC CA 04").
Windows nennt beim Start deshalb den Herausgeber, statt vor einem unbekannten
zu warnen. Echtheit prüfen: Rechtsklick auf die Datei → Eigenschaften →
Digitale Signaturen.
Einen festen Fingerabdruck nennen wir bewusst nicht: Der Dienst stellt absichtlich
kurzlebige Zertifikate aus und erneuert sie laufend. Jede Signatur trägt einen
Zeitstempel von Microsoft und bleibt deshalb gültig, auch wenn das Zertifikat,
mit dem sie erstellt wurde, längst abgelaufen ist.
Bei einer noch wenig verbreiteten Datei kann SmartScreen trotzdem einmal
nachfragen — das hängt an der Bekanntheit der Datei, nicht am Zertifikat.
WICHTIG: Installieren Sie in keinem Fall ein Zertifikat in die
vertrauenswürdigen Stammzertifizierungsstellen — CertWatch verlangt das
an keiner Stelle. Administratoren verwalteter Systeme (WDAC/AppLocker)
können das Signaturzertifikat direkt aus der Signatur der EXE exportieren
und gezielt regelbasiert zulassen.

Ohne Oberfläche starten (Administratoren): CertWatch.Server.exe läuft auch
direkt in der Eingabeaufforderung im Vordergrund; Beenden mit Strg+C.


Lizenzbedingungen, Drittkomponenten und Datenschutz
---------------------------------------------------
Diesem Paket liegen drei Dateien bei:
  LICENSE.txt ................ Endbenutzer-Lizenzvertrag (EULA) — was Sie mit
                               CertWatch tun dürfen. Deutsch ist bindend, eine
                               englische und eine japanische Fassung liegen bei.
  THIRD-PARTY-NOTICES.txt .... die enthaltenen Fremdbestandteile (.NET-Laufzeit,
                               SQLite) mit ihren Lizenzen.
  PRIVACY.txt ................ was CertWatch auf Ihren Systemen speichert und
                               welche Verbindungen es nach außen aufbaut.

Fragen, Störungen, Lizenzsachen: support@kyototech.co.jp
