Siden 15. marts 2026 kan et offentligt betroet SSL/TLS-certifikat højst være gyldigt i 200 dage. Grænsen falder til 100 dage den 15. marts 2027 og til 47 dage den 15. marts 2029. Fornyer du i dag et certifikat manuelt, skal du gøre det mindst otte gange om året i 2029. Løsningen er at automatisere fornyelsen nu og overvåge, at automatiseringen bliver ved med at virke.
Tidsplanen kommer fra CA/Browser Forum, den gruppe af certifikatudstedere og browserproducenter, der skriver de regler, som alle offentlige certifikater følger. Denne guide forklarer tidsplanen, den mindre omtalte ændring af domænevalidering, og hvad du skal gøre før hver deadline.
Tidsplanen
Afstemningen SC-081v3, der blev vedtaget i april 2025, ændrede forummets Baseline Requirements i tre trin. To grænser falder samtidig: hvor længe et certifikat må være gyldigt, og hvor længe en certifikatudsteder må genbruge en tidligere kontrol af, at du har kontrol over domænet.
Certifikat udstedtMaksimal gyldighedDomænevalidering genbruges i op tilFør 15. marts 2026398 dage398 dageFra 15. marts 2026200 dage200 dageFra 15. marts 2027100 dage100 dageFra 15. marts 202947 dage10 dage
Afstemningens side har afstemningsresultatet og den fulde tekst. Grænserne gælder, når et certifikat udstedes. Et certifikat, der er udstedt før en deadline, forbliver gyldigt til sin egen udløbsdato, så intet af det, du har i dag, holder op med at virke den 15. marts. Det kan bare ikke erstattes af et, der holder lige så længe.
Hvad genbrug af domænevalidering betyder
Før en certifikatudsteder udsteder et certifikat, kontrollerer den, at du har kontrol over domænet, for eksempel ved at bede dig om at publicere en DNS-record eller levere en fil over HTTP. Indtil nu har den kunnet genbruge den kontrol i over et år. Fra marts 2029 er genbrugsperioden 10 dage, så næsten hver fornyelse kræver en ny kontrol. En fornyelse, der før virkede på en husket validering, vil nu afhænge af, at din DNS og din webserver svarer korrekt hver gang.
Hvorfor levetiden bliver kortere
Oplysningerne i et certifikat bliver forældede. Domæner bliver solgt, virksomheder skifter hosting, nøgler lækker. En kortere levetid begrænser, hvor længe et forældet eller kompromitteret certifikat kan bruges.
Tilbagekaldelse er upålidelig. Browsere kan ikke altid tjekke, om et certifikat er blevet tilbagekaldt. Udløb er sikkerhedsnettet, der altid virker, og et kortere udløb virker hurtigere.
Det tvinger automatisering igennem. Manuel fornyelse en gang om året er netop den proces, der fejler: Personen, der stod for det, er stoppet, påmindelsen gik til en gammel indbakke. Når fornyelse sker ofte, skal den automatiseres, og automatiserede processer kan hurtigt skifte algoritme eller udsteder, når det er nødvendigt.
Let’s Encrypt går endnu længere
Let’s Encrypt-certifikater holder allerede i 90 dage, et godt stykke inden for alle grænserne ovenfor. I Decreasing Certificate Lifetimes to 45 Days annoncerede de deres egen tidsplan:
13. maj 2026: Den frivillige profil tlsserver udsteder certifikater på 45 dage.
10. februar 2027: Standardprofilen classic går over til certifikater på 64 dage, og valideringer genbruges i 10 dage i stedet for 30.
16. februar 2028: Standarden går over til certifikater på 45 dage, og valideringer genbruges kun i 7 timer.
Let’s Encrypt holdt også op med at sende e-mails om udløb i 2025. Hvis du har stolet på dem for at opdage en mislykket fornyelse, er der intet, der erstatter dem, medmindre du selv sætter det op.
En tjekliste, så du er klar
1. Find alle dine certifikater
Websitet er det nemme. Skriv også API-endpoints, adminpaneler, staging-sites, mailservere, load balancere, CDN-certifikater og gamle kampagnesubdomæner på listen. Certificate Transparency-logs registrerer alle offentlige certifikater, så en søgning efter dit domæne i dem (for eksempel på crt.sh) viser certifikater, som ingen husker at have bestilt. SSL-tjekket viser udløbsdato, udsteder, navne og kæde for en hvilken som helst host.
2. Automatisér fornyelsen med ACME
ACME er standardprotokollen til at bestille og forny certifikater, uden at et menneske skal ind over (RFC 8555). Certbot, acme.sh og Caddy understøtter den, ligesom de fleste hostingpaneler, load balancere og CDN’er. Mange kommercielle udstedere understøtter den også, så betalte certifikater kan også automatiseres. Forny i god tid før udløb, når cirka en tredjedel af levetiden er tilbage, så et mislykket forsøg kan nå at blive gentaget.
3. Sørg for, at valideringen virker hver gang
Med en genbrugsperiode på 10 dage kræver hver fornyelse en godkendt validering. Tjek den metode, du bruger:
HTTP-validering kræver, at port 80 er åben, og at /.well-known/acme-challenge/ kan nås, uden en omdirigering til en loginside eller en firewallregel i vejen.
DNS-validering kræver API-adgang til din DNS-udbyder og adgangsoplysninger, der ikke udløber i stilhed.
CAA-records skal, hvis du publicerer dem, nævne den udsteder, du bruger. En CAA-record, der er blevet hængende fra en tidligere udbyder, blokerer udstedelsen. Slå dem op med værktøjet DNS-opslag.
En ændret DNS-record er en af de mest almindelige grunde til, at en fornyelse, der har virket i årevis, pludselig fejler. DNS-overvågning giver dig besked, når en record ændrer sig.
4. Tag det fornyede certifikat i brug
Et fornyet certifikat på disken gør ingenting, før serveren indlæser det. Sørg for, at din klient genindlæser webserveren efter fornyelsen, og at alle servere bag en load balancer får det nye certifikat, ikke kun den, hvor fornyelsen kørte. Udstyr og tjenester, hvor et certifikat skal uploades manuelt, er dér, hvor kortere levetid gør mest ondt; find ud af nu, om de kan hente et automatisk.
5. Gentænk manuelt købte certifikater
Et certifikat, der sælges som et etårigt produkt, kan ikke længere udstedes for et år. Siden marts 2026 skal det genudstedes mindst én gang i løbet af perioden, og fra 2029 cirka hver sjette uge. Hvis et organisationsvalideret certifikat er et krav, så spørg din udsteder, hvordan de understøtter ACME, før trinnet til 100 dage i 2027.
6. Overvåg det certifikat, der faktisk leveres
Automatisering fejler i stilhed: et udløbet token til DNS-API’et, en serverflytning, hvor fornyelsestimeren blev glemt, en genindlæsning, der aldrig skete. Den eneste pålidelige test er at se på det certifikat, som de besøgende får, udefra og efter en fast plan. Vores guide til overvågning af SSL-certifikaters udløb gennemgår detaljerne, og SSL-certifikatfejl forklaret viser, hvad de besøgende ser, når det går galt.
Hvad hver deadline betyder i praksis
Nu, ved 200 dage: Hvert certifikat udskiftes mindst to gange om året. En manuel proces virker stadig, men det er nu, du skal lave overblikket og automatisere, mens en glemt fornyelse er sjælden.
Fra 15. marts 2027, ved 100 dage: Mindst fire udskiftninger om året. Et certifikat, der uploades manuelt til udstyr eller et hostingpanel, bliver en kvartalsvis opgave, som nogen vil glemme.
Fra 15. marts 2029, ved 47 dage: Mindst otte udskiftninger om året, hver med en ny domænevalidering. Alt manuelt vil fejle før eller siden, og det samme vil automatisering, hvis DNS-adgang, firewallregler eller genindlæsning ingen har testet.
Arbejdet er det samme ved hvert trin: færre manuelle certifikater, fornyelse, der validerer og tages i brug af sig selv, og et tjek udefra, der fortæller dig, når det ikke skete.
Sådan holder Uptimecheck øje med dine certifikater
Hver HTTPS-monitor i Uptimecheck læser certifikatet ved hvert tjek, så der er ingen separat SSL-monitor at sætte op.
Påmindelser går til monitorens alarmkanaler 30, 14, 7 og 1 dag før certifikatet udløber, og på selve dagen.
Antallet af resterende dage bliver gult under 30 dage og rødt under 14, og certifikater, der udløber inden for 14 dage, vises under Needs attention på oversigten.
Et udløbet, selvsigneret eller forkert matchende certifikat får tjekket til at fejle, så det åbner en hændelse som ethvert andet nedbrud. Et manglende mellemcertifikat vises som Incomplete chain.
Tilpas påmindelserne til, hvornår du fornyer. Hvis din klient fornyer med mere end 30 dage tilbage, betyder enhver påmindelse, at en fornyelse er fejlet. Hvis den fornyer senere, som den vil gøre med certifikater på 47 dage, kommer påmindelsen ved 30 dage før hver fornyelse, og den første påmindelse efter din klients fornyelsestidspunkt er den, der kræver handling. Se sådan overvåger du SSL-certifikaters udløb.
Domæneregistreringen har sin egen udløbsdato, og intet certifikat hjælper, når den udløber. Domæneovervågning minder dig om det på de samme dage; tjek et hvilket som helst domæne med tjekket af domæneudløb.
Kortere certifikater bør ikke betyde flere nedbrud. Prøv Uptimecheck gratis i 14 dage, intet kreditkort påkrævet.