Het saaie werk dat 80 % van de incidenten voorkomt. Deze how-to's gaan over patchen zonder verrassingen, backups die echt bestaan, certificaten die niet stil verlopen en een statuspagina die je klanten zelf kunnen lezen.
Een statuspagina op dezelfde server als de dienst die ze beschrijft, is down wanneer je haar nodig hebt. Dit is de opzet die wél werkt: Uptime Kuma op een aparte, goedkope VPS, checks van buitenaf op HTTP, TLS en TCP, een publieke pagina op status.jouwdomein.be met een eigen certificaat, incident-updates die je vanaf je telefoon plaatst, en de DNS- en cache-details die bepalen of de pagina bereikbaar blijft als de rest brandt.
Een kernel-update is de enige routine-update die een reboot vereist en die je server kan laten hangen. Dit is de checklist die we zelf gebruiken: pre-checks (/boot, DKMS, Secure Boot), snapshot, installatie, een GRUB-fallback die na één mislukte boot automatisch de oude kernel kiest, en de verificatie na de reboot. Met een venster van vijftien minuten.
Let's Encrypt vernieuwt zichzelf — tot de dag dat de hook faalt, de DNS-validatie breekt of iemand de cron heeft weggehaald. Dit script vindt elk certificaat op elke poort van elke host (ook interne, ook mail, ook de reverse proxy die niemand meer kent), berekent de resterende dagen en pusht een alert op 14 en 7 dagen. Zonder Nagios, zonder externe dienst.
De standaardinstallatie van unattended-upgrades patcht security-updates maar laat services op oude libraries draaien en de nieuwe kernel op schijf staan. Dit is de configuratie die dat oplost voor Ubuntu 24.04 en Debian 12: origins, blacklist, needrestart, reboot-beleid, mail — plus het cron-script dat meldt welke hosts al dagen op een reboot wachten.
Een back-upjob die exit 0 geeft, bewijst dat de job draaide — niet dat er iets bruikbaars in het archief zit. Drie controles die je automatiseert: is de nieuwste back-up vers genoeg (mtime-check), is het archief leesbaar (restic/borg check) en kun je er echt iets uit terugzetten (maandelijkse restore-test met logregel). Plus de valkuil van rsync die mtimes bewaart.