TLS de um host do nginx falhando (certificado inválido ou nginx sem responder)

Item	Detalhe
Serviço afetado	Sondas (blackbox)
Severidade	crítico
Dispara quando	probe_success = 0 na sonda TLS de um host por mais de 5 minutos.

O que representa

A sonda abre TLS no nginx com o nome do host e valida a cadeia e o nome. Falha quando o certificado venceu, foi trocado por outro, a cadeia não fecha ou o nginx não responde. Os clientes recusam o host.

Como verificar no Grafana

• Dashboard nginx, aba Visão geral, painel Hosts com TLS falhando.
• Rode na VM: openssl s_client -connect <host>:443 -servername <host> </dev/null | openssl x509 -noout -dates -subject.

Como agir

1. Se o certificado venceu ou é de outro host: página tls-cert-expiring-critical.
2. Se o nginx não responde, o alerta nginx-down também disparou: siga a página dele (docker logs nginx, nginx -t). Com o nginx fora o Grafana não abre: veja Acessar o Grafana com o nginx fora do ar.