15. maaliskuuta 2026 alkaen julkisesti luotettu SSL/TLS-varmenne voi olla voimassa enintään 200 päivää. Raja laskee 100 päivään 15. maaliskuuta 2027 ja 47 päivään 15. maaliskuuta 2029. Jos uusit jonkin varmenteen tänään käsin, joudut tekemään sen vuoteen 2029 mennessä vähintään kahdeksan kertaa vuodessa. Ratkaisu on automatisoida uusiminen nyt ja valvoa, että automaatio pysyy toimintakunnossa.
Aikataulu tulee CA/Browser Forumilta, varmentajien ja selainvalmistajien ryhmältä, joka kirjoittaa säännöt, joita jokainen julkinen varmenne noudattaa. Tämä opas selittää aikataulun, vähemmän puhutun muutoksen verkkotunnuksen validointiin ja sen, mitä tehdä ennen kutakin määräaikaa.
Aikataulu
Huhtikuussa 2025 hyväksytty äänestys SC-081v3 muutti Forumin Baseline Requirements -vaatimuksia kolmessa vaiheessa. Kaksi rajaa laskee yhdessä: kuinka kauan varmenne saa olla voimassa ja kuinka kauan varmentaja saa käyttää uudelleen aiempaa tarkistusta siitä, että hallitset verkkotunnusta.
Varmenne myönnettyEnimmäisvoimassaoloVerkkotunnuksen validointia voi käyttää uudelleen enintäänEnnen 15. maaliskuuta 2026398 päivää398 päivää15. maaliskuuta 2026 alkaen200 päivää200 päivää15. maaliskuuta 2027 alkaen100 päivää100 päivää15. maaliskuuta 2029 alkaen47 päivää10 päivää
Äänestyksen sivulla on äänestystulos ja koko teksti. Rajat koskevat varmenteen myöntämishetkeä. Ennen määräaikaa myönnetty varmenne on voimassa oman päättymispäivänsä asti, joten mikään nykyisistä varmenteistasi ei lakkaa toimimasta 15. maaliskuuta. Sitä ei vain voi korvata yhtä pitkään voimassa olevalla.
Mitä validoinnin uudelleenkäyttö tarkoittaa
Ennen kuin varmentaja myöntää varmenteen, se tarkistaa, että hallitset verkkotunnusta, esimerkiksi pyytämällä sinua julkaisemaan DNS-tietueen tai tarjoamaan tiedoston HTTP:n yli. Tähän asti se on voinut käyttää tarkistusta uudelleen yli vuoden ajan. Maaliskuusta 2029 alkaen uudelleenkäyttöaika on 10 päivää, joten lähes jokainen uusinta vaatii uuden tarkistuksen. Uusinta, joka ennen toimi muistetun validoinnin varassa, riippuu nyt siitä, että DNS ja verkkopalvelimesi vastaavat oikein joka kerta.
Miksi voimassaoloajat lyhenevät
Varmenteen tiedot vanhenevat. Verkkotunnuksia myydään, yritykset vaihtavat palveluntarjoajaa, avaimia vuotaa. Lyhyempi voimassaolo rajaa, kuinka kauan vanhentunutta tai vaarantunutta varmennetta voi käyttää.
Peruuttaminen on epäluotettavaa. Selaimet eivät aina pysty tarkistamaan, onko varmenne peruttu. Vanheneminen on varmistus, joka toimii aina, ja lyhyempi voimassaolo toimii aiemmin.
Se pakottaa automatisointiin. Manuaalinen vuosittainen uusinta on juuri se prosessi, joka pettää: sen tehnyt henkilö lähti, muistutus meni vanhaan postilaatikkoon. Kun uusinta on tiheää, se on pakko automatisoida, ja automatisoidut prosessit voivat vaihtaa algoritmeja tai varmentajia nopeasti, kun on tarve.
Let’s Encrypt menee vielä pidemmälle
Let’s Encryptin varmenteet ovat jo nyt voimassa 90 päivää, selvästi kaikkien yllä olevien rajojen sisällä. Tiedotteessaan Decreasing Certificate Lifetimes to 45 Days se julkisti oman aikataulunsa:
13. toukokuuta 2026: valinnainen tlsserver-profiili myöntää 45 päivän varmenteita.
10. helmikuuta 2027: oletusprofiili classic siirtyy 64 päivän varmenteisiin, ja validointeja käytetään uudelleen 10 päivää 30 päivän sijaan.
16. helmikuuta 2028: oletus siirtyy 45 päivän varmenteisiin, ja validointeja käytetään uudelleen vain 7 tuntia.
Let’s Encrypt myös lopetti vanhenemisilmoitusten lähettämisen sähköpostilla vuonna 2025. Jos luotit niihin huomataksesi epäonnistuneen uusinnan, mikään ei korvaa niitä, ellet ota korvaajaa käyttöön itse.
Tarkistuslista valmistautumiseen
1. Etsi kaikki varmenteesi
Verkkosivusto on helppo. Listaa myös API-päätepisteet, hallintapaneelit, testisivustot, sähköpostipalvelimet, kuormantasaajat, CDN-reunavarmenteet ja vanhat kampanjoiden aliverkkotunnukset. Certificate Transparency -lokit tallentavat jokaisen julkisen varmenteen, joten niistä verkkotunnustasi hakemalla (esimerkiksi crt.sh:ssa) löydät varmenteet, joiden tilaamista kukaan ei muista. SSL-tarkistin näyttää minkä tahansa palvelimen vanhenemispäivän, myöntäjän, nimet ja ketjun.
2. Automatisoi uusiminen ACME:lla
ACME on vakioprotokolla varmenteiden pyytämiseen ja uusimiseen ilman ihmisen väliintuloa (RFC 8555). Certbot, acme.sh ja Caddy tukevat sitä, kuten myös useimmat hallintapaneelit, kuormantasaajat ja CDN:t. Monet kaupalliset varmentajat tukevat sitä myös, joten maksullisetkin varmenteet voi automatisoida. Uusi hyvissä ajoin ennen vanhenemista, kun voimassaoloa on jäljellä noin kolmannes, jotta epäonnistunutta yritystä ehditään yrittää uudelleen.
3. Varmista, että validointi toimii joka kerta
Kun uudelleenkäyttöaika on 10 päivää, jokainen uusinta tarvitsee onnistuneen validoinnin. Tarkista käyttämäsi menetelmä:
HTTP-validointi vaatii, että portti 80 on auki ja /.well-known/acme-challenge/ on tavoitettavissa ilman uudelleenohjausta kirjautumissivulle tai palomuurisääntöä tiellä.
DNS-validointi vaatii API-pääsyn DNS-palveluntarjoajaasi ja tunnukset, jotka eivät vanhene huomaamatta.
CAA-tietueiden, jos julkaiset niitä, on nimettävä käyttämäsi varmentaja. Edelliseltä palveluntarjoajalta jäänyt CAA-tietue estää myöntämisen. Tarkista ne DNS-haku-työkalulla.
Muuttunut DNS-tietue on yksi yleisimmistä syistä, miksi vuosia toiminut uusinta yhtäkkiä epäonnistuu. DNS-valvonta kertoo, kun jokin tietue muuttuu.
4. Ota uusittu varmenne käyttöön
Levyllä oleva uusittu varmenne ei tee mitään ennen kuin palvelin lataa sen. Varmista, että asiakasohjelmasi lataa verkkopalvelimen uudelleen uusinnan jälkeen ja että jokainen kuormantasaajan takana oleva palvelin saa uuden varmenteen, ei vain se, jossa uusinta ajettiin. Laitteet ja palvelut, joihin varmenne pitää ladata käsin, kärsivät lyhyemmistä voimassaoloajoista eniten; selvitä nyt, voivatko ne hakea varmenteen automaattisesti.
5. Mieti käsin ostetut varmenteet uudelleen
Vuoden tuotteena myytyä varmennetta ei voi enää myöntää vuodeksi. Maaliskuusta 2026 alkaen se on myönnettävä uudelleen vähintään kerran kauden aikana, ja vuodesta 2029 noin kuuden viikon välein. Jos organisaatiovalidoitu varmenne on vaatimus, kysy varmentajaltasi, miten se tukee ACME:a, ennen vuoden 2027 100 päivän vaihetta.
6. Valvo varmennetta, joka oikeasti tarjoillaan
Automaatio pettää hiljaa: vanhentunut DNS-API-tunniste, palvelinsiirto, jossa uusinta-ajastin unohtui, uudelleenlataus, jota ei koskaan tapahtunut. Ainoa luotettava testi on katsoa säännöllisesti ulkopuolelta varmennetta, jonka kävijät saavat. Oppaamme SSL-varmenteen vanhenemisen valvonnasta käy yksityiskohdat läpi, ja SSL-varmennevirheet selitettynä näyttää, mitä kävijät näkevät, kun jokin menee pieleen.
Mitä kukin määräaika tarkoittaa käytännössä
Nyt, 200 päivää: jokainen varmenne vaihdetaan vähintään kahdesti vuodessa. Manuaalinen prosessi toimii vielä, mutta nyt on hetki tehdä inventaario ja automatisoida, kun väliin jäänyt uusinta on vielä harvinainen.
15. maaliskuuta 2027 alkaen, 100 päivää: vähintään neljä vaihtoa vuodessa. Laitteeseen tai hallintapaneeliin käsin ladatusta varmenteesta tulee neljännesvuosittainen rutiini, jonka joku unohtaa.
15. maaliskuuta 2029 alkaen, 47 päivää: vähintään kahdeksan vaihtoa vuodessa, jokainen uudella verkkotunnuksen validoinnilla. Kaikki manuaalinen pettää ennemmin tai myöhemmin, ja niin pettää myös automaatio, jonka DNS-tunnuksia, palomuurisääntöjä tai uudelleenlatausvaihetta kukaan ei ole testannut.
Työ on joka vaiheessa sama: vähemmän manuaalisia varmenteita, uusinta, joka validoi ja ottaa varmenteen käyttöön itsestään, ja ulkopuolinen tarkistus, joka kertoo, kun se ei onnistunut.
Näin Uptimecheck valvoo varmenteitasi
Jokainen Uptimecheckin HTTPS-valvonta lukee varmenteen jokaisella tarkistuksella, joten erillistä SSL-valvontaa ei tarvitse asettaa.
Muistutukset lähtevät valvonnan hälytyskanaviin 30, 14, 7 ja 1 päivää ennen varmenteen vanhenemista sekä vanhenemispäivänä.
Jäljellä olevat päivät muuttuvat oransseiksi alle 30 päivässä ja punaisiksi alle 14 päivässä, ja 14 päivän sisällä vanhenevat varmenteet näkyvät yleisnäkymän kohdassa Needs attention.
Vanhentunut, itse allekirjoitettu tai nimeltään väärä varmenne hylkää tarkistuksen, joten siitä avautuu häiriö kuten mistä tahansa muusta katkosta. Puuttuva välivarmenne näkyy tilana Incomplete chain.
Sovita muistutukset uusinta-ajoitukseesi. Jos asiakasohjelmasi uusii, kun jäljellä on yli 30 päivää, mikä tahansa muistutus tarkoittaa, että uusinta epäonnistui. Jos se uusii myöhemmin, kuten 47 päivän varmenteilla tulee tapahtumaan, 30 päivän muistutus saapuu ennen jokaista uusintaa, ja toimia vaatii ensimmäinen muistutus asiakasohjelmasi uusintakohdan jälkeen. Katso miten valvot SSL-varmenteen vanhenemista.
Verkkotunnuksen rekisteröinnillä on oma päättymispäivänsä, eikä mikään varmenne auta, kun se raukeaa. Verkkotunnusten valvonta muistuttaa samoina päivinä; tarkista mikä tahansa verkkotunnus verkkotunnuksen vanhenemisen tarkistimella.
Lyhyempien varmenteiden ei pitäisi tarkoittaa useampia katkoja. Kokeile Uptimecheckiä ilmaiseksi 14 päivää, luottokorttia ei tarvita.