問題のある状態を API の応答で分かるようにする（証明書の期限・宛先の全滅など）

[max3584]

通知の仕組みは後回しにして、まず「問題がある状態」を API の応答（GET /rules・/metrics、必要なら全体のまとめ）に出す。通知は後から外部（Alertmanager・Webhook など）で足せるようにする。

候補：

• 証明書の期限（ルールの TLS の証明書・中間 CA・クライアント認証の CA・転送先向けの証明書、制御 API の証明書）：残り日数、期限切れ・一定日数以内の警告
• 宛先がすべて down（targets・L7 のサービス）
• ルールの失敗（failed）、HTTP/3 の待ち受けの失敗
• 設定ファイルの誤り・再起動が必要な変更（GET /config にはある）
• CrowdSec の LAPI に届かない

UI でも同じものを「要確認」として表示する（UI 側は別の issue）。

[max3584]

オーナーと決めた方針（証明書の部分から入れる）

チェックは証明書単位の 1 つの仕組みにする（変な従属性を作らない）

• tlsconf に「証明書 1 枚を調べる」純粋な関数を 1 つだけ置く（入力：読み込んだ証明書、出力：not_after・残り日数・切れているか）。ルールの状態やタイマーには依存しない
• 証明書を読むすべての場所（ルールの TLS の証明書・中間 CA・クライアント認証の CA・転送先向けの証明書・制御 API の証明書）がこの関数を通す
• 結果の扱い（外す・ルールを止める・警告）は registry、いつ調べるか（タイマー）は main が決める

調べるタイミング

• 証明書を読み込むとき（ルールの作成・変更、ファイルの変化での読み直し、SIGHUP）にその場で
• 1 日に 1 回（ファイルが変わらないまま期限が来る場合のため）。間隔は設定で変えられる

切れたとき

• サーバ証明書（tls.certificates）：1 枚だけ切れたらその証明書だけを外す（ほかの名前は動かす）。すべて切れたらルールを failed（エラーに「証明書の期限切れ」）にして待ち受けを閉じる。更新されたら次の読み込みで自動で戻す
• クライアント認証の CA・転送先向けの証明書・制御 API の証明書：止めずに警告（ログ・応答）
• passthrough の route は対象外（証明書は転送先のもの）

出すもの

• ルールの表示に証明書ごとの not_after・残り日数・状態、/metrics に残り秒数。残り 14 日（設定で変えられる）で警告
• ログ event=cert.expiring / cert.expired

宛先の全滅などほかの項目は、必要になったときに別に入れる。

[max3584]

オーナーの提案で設計を変更：証明書ストアを作り、ルールはそこを参照する。証明書のファイル（証明書・鍵・中間 CA、クライアント認証の CA、転送先向けの証明書）ごとに 1 つのエントリで、読み込んだ証明書・ファイルの指紋・期限の状態を持つ。同じファイルを使う複数のルールは同じエントリを共有する。期限の確認とファイルの変化の検知（#90）はエントリごとに 1 回行い、影響するルールに反映する（外す・止める・戻す）。設定・API の形は変えない（状態の項目を足すだけ）。

[max3584]

証明書の部分は #121（証明書ストアと期限の確認）と UI の max3584/TCP-UDP-rproxy-ui#67 で入れました（v0.3.5）。残り（宛先の全滅・CrowdSec の LAPI に届かない など）は必要になったときに入れます。