Sinds 15 maart 2026 mag een publiek vertrouwd SSL/TLS-certificaat maximaal 200 dagen geldig zijn. Die grens zakt op 15 maart 2027 naar 100 dagen en op 15 maart 2029 naar 47 dagen. Vernieuw je vandaag nog certificaten met de hand, dan moet je dat in 2029 minstens acht keer per jaar doen. Het antwoord: automatiseer de vernieuwing nu, en monitor of die automatisering blijft werken.
Het tijdschema komt van het CA/Browser Forum, de groep van certificaatautoriteiten en browsermakers die de regels opstelt waaraan elk publiek certificaat moet voldoen. Deze gids legt het tijdschema uit, de minder besproken wijziging in domeinvalidatie, en wat je vóór elke deadline moet doen.
Het tijdschema
Ballot SC-081v3, aangenomen in april 2025, wijzigde de Baseline Requirements van het Forum in drie stappen. Twee grenzen gaan tegelijk omlaag: hoe lang een certificaat geldig mag zijn, en hoe lang een certificaatautoriteit een eerdere controle mag hergebruiken waaruit blijkt dat jij het domein beheert.
Certificaat uitgegevenMaximale geldigheidDomeinvalidatie hergebruikt tot maximaalVóór 15 maart 2026398 dagen398 dagenVanaf 15 maart 2026200 dagen200 dagenVanaf 15 maart 2027100 dagen100 dagenVanaf 15 maart 202947 dagen10 dagen
Op de ballotpagina vind je de stemming en de volledige tekst. De grenzen gelden op het moment dat een certificaat wordt uitgegeven. Een certificaat dat vóór een deadline is uitgegeven, blijft geldig tot zijn eigen vervaldatum, dus niets wat je nu hebt, houdt op 15 maart op met werken. Het kan alleen niet worden vervangen door een certificaat dat net zo lang meegaat.
Wat hergebruik van domeinvalidatie betekent
Voordat een certificaatautoriteit een certificaat uitgeeft, controleert ze of jij het domein beheert, bijvoorbeeld door je te vragen een DNS-record te publiceren of een bestand via HTTP aan te bieden. Tot nu toe mocht ze die controle meer dan een jaar hergebruiken. Vanaf maart 2029 is de hergebruiksperiode 10 dagen, dus vrijwel elke vernieuwing heeft een nieuwe controle nodig. Een vernieuwing die vroeger op een eerdere validatie leunde, hangt dan af van DNS en een webserver die elke keer correct antwoorden.
Waarom de looptijd korter wordt
Informatie in een certificaat veroudert. Domeinen worden verkocht, bedrijven verhuizen hun hosting, sleutels lekken uit. Een kortere looptijd beperkt hoe lang een verouderd of gecompromitteerd certificaat bruikbaar is.
Intrekking is onbetrouwbaar. Browsers kunnen niet altijd nagaan of een certificaat is ingetrokken. De vervaldatum is het vangnet dat altijd werkt, en een kortere werkt eerder.
Het dwingt automatisering af. Een handmatige jaarlijkse vernieuwing is precies het proces dat misgaat: degene die het deed is vertrokken, de herinnering ging naar een oude inbox. Als vernieuwen vaak moet, moet het geautomatiseerd, en geautomatiseerde processen kunnen snel van algoritme of autoriteit wisselen als dat nodig is.
Let’s Encrypt gaat nog verder
Certificaten van Let’s Encrypt zijn nu al 90 dagen geldig, ruim binnen elke grens hierboven. In Decreasing Certificate Lifetimes to 45 Days kondigde Let’s Encrypt een eigen tijdschema aan:
13 mei 2026: het optionele profiel tlsserver geeft certificaten van 45 dagen uit.
10 februari 2027: het standaardprofiel classic gaat over op certificaten van 64 dagen, en validaties worden 10 dagen hergebruikt in plaats van 30.
16 februari 2028: de standaard gaat over op certificaten van 45 dagen, met validaties die nog maar 7 uur worden hergebruikt.
Let’s Encrypt is in 2025 ook gestopt met het versturen van e-mails over verlopende certificaten. Vertrouwde je daarop om een mislukte vernieuwing op te merken, dan komt er niets voor in de plaats tenzij je dat zelf regelt.
Een checklist om je voor te bereiden
1. Breng al je certificaten in kaart
De website is de makkelijkste. Noteer ook API-endpoints, beheerpanelen, stagingsites, mailservers, load balancers, edge-certificaten van je CDN en oude subdomeinen van campagnes. Certificate Transparency-logs registreren elk publiek certificaat, dus als je daarin naar je domein zoekt (bijvoorbeeld op crt.sh), zie je certificaten die niemand zich herinnert te hebben besteld. De SSL-checker toont voor elke host de vervaldatum, uitgever, namen en keten.
2. Automatiseer de vernieuwing met ACME
ACME is het standaardprotocol om certificaten aan te vragen en te vernieuwen zonder dat er een mens aan te pas komt (RFC 8555). Certbot, acme.sh en Caddy ondersteunen het, net als de meeste hostingpanelen, load balancers en CDN’s. Ook veel commerciële autoriteiten ondersteunen het, dus ook betaalde certificaten kun je automatiseren. Vernieuw ruim voor de vervaldatum, als er nog ongeveer een derde van de looptijd over is, zodat een mislukte poging tijd heeft om opnieuw te worden geprobeerd.
3. Zorg dat validatie elke keer slaagt
Met een hergebruiksperiode van 10 dagen heeft elke vernieuwing een geslaagde validatie nodig. Controleer de methode die je gebruikt:
HTTP-validatie vereist dat poort 80 open is en /.well-known/acme-challenge/ bereikbaar is, zonder een redirect naar een inlogpagina of een firewallregel die in de weg zit.
DNS-validatie vereist API-toegang tot je DNS-provider, en inloggegevens die niet ongemerkt verlopen.
CAA-records moeten, als je ze publiceert, de autoriteit noemen die je gebruikt. Een CAA-record dat is blijven staan van een vorige provider, blokkeert de uitgifte. Zoek ze op met de tool DNS lookup.
Een gewijzigd DNS-record is een van de meest voorkomende redenen waarom een vernieuwing die jarenlang werkte ineens mislukt. DNS-monitoring laat je weten wanneer er een verandert.
4. Rol uit wat je vernieuwt
Een vernieuwd certificaat op schijf doet niets totdat de server het laadt. Zorg dat je client de webserver na de vernieuwing herlaadt, en dat elke server achter een load balancer het nieuwe certificaat krijgt, niet alleen de server waar de vernieuwing draaide. Apparaten en diensten waar je een certificaat met de hand moet uploaden, zijn waar kortere looptijden het meest pijn doen; zoek nu uit of die er automatisch een kunnen ophalen.
5. Heroverweeg handmatig gekochte certificaten
Een certificaat dat als product voor één jaar wordt verkocht, kan niet meer voor een jaar worden uitgegeven. Sinds maart 2026 moet het minstens één keer tijdens de looptijd opnieuw worden uitgegeven, en vanaf 2029 ongeveer elke zes weken. Is een OV-certificaat (organisatievalidatie) een vereiste, vraag je autoriteit dan vóór de stap naar 100 dagen in 2027 hoe die ACME ondersteunt.
6. Monitor het certificaat dat echt wordt geserveerd
Automatisering faalt geruisloos: een verlopen DNS-API-token, een serververhuizing waarbij de vernieuwingstimer is vergeten, een herlaadactie die nooit plaatsvond. De enige betrouwbare test is volgens een vast schema van buitenaf kijken naar het certificaat dat bezoekers krijgen. Onze gids over monitoring van verlopende SSL-certificaten gaat op de details in, en SSL-certificaatfouten uitgelegd laat zien wat bezoekers zien als het misgaat.
Wat elke deadline in de praktijk betekent
Nu, bij 200 dagen: elk certificaat wordt minstens twee keer per jaar vervangen. Een handmatig proces werkt nog, maar dit is het moment om te inventariseren en te automatiseren, nu een gemiste vernieuwing nog zeldzaam is.
Vanaf 15 maart 2027, bij 100 dagen: minstens vier vervangingen per jaar. Een certificaat dat je met de hand naar een apparaat of hostingpaneel uploadt, wordt een klus per kwartaal die iemand gaat vergeten.
Vanaf 15 maart 2029, bij 47 dagen: minstens acht vervangingen per jaar, elk met een nieuwe domeinvalidatie. Alles wat handmatig is, gaat vroeg of laat mis, en dat geldt ook voor automatisering waarvan niemand de DNS-inloggegevens, firewallregels of herlaadstap heeft getest.
Het werk is bij elke stap hetzelfde: minder handmatige certificaten, vernieuwing die zelf valideert en uitrolt, en een externe check die je waarschuwt als dat niet lukte.
Hoe Uptimecheck je certificaten in de gaten houdt
Elke HTTPS-monitor in Uptimecheck leest het certificaat bij elke check, dus je hoeft geen aparte SSL-monitor in te stellen.
Herinneringen gaan naar de alertkanalen van de monitor, 30, 14, 7 en 1 dag voordat het certificaat verloopt, en op de dag zelf.
Het aantal resterende dagen kleurt amber onder 30 dagen en rood onder 14, en certificaten die binnen 14 dagen verlopen, staan in het overzicht onder Needs attention.
Een verlopen, self-signed of niet-overeenkomend certificaat laat de check falen, dus er wordt een incident geopend zoals bij elke andere storing. Een ontbrekend tussencertificaat verschijnt als Incomplete chain.
Stem de herinneringen af op je vernieuwingsmoment. Vernieuwt je client als er nog meer dan 30 dagen over zijn, dan betekent elke herinnering dat een vernieuwing is mislukt. Vernieuwt hij later, zoals bij certificaten van 47 dagen het geval zal zijn, dan komt de herinnering van 30 dagen vóór elke vernieuwing binnen, en is de eerste herinnering na het vernieuwingsmoment van je client degene waarop je moet handelen. Zie verlopende SSL-certificaten monitoren.
De domeinregistratie heeft een eigen vervaldatum, en zodra die verloopt helpt geen enkel certificaat meer. Domeinmonitoring herinnert je op dezelfde dagen; controleer elk domein met de checker voor domeinverloop.
Kortere certificaten hoeven niet meer storingen te betekenen. Probeer Uptimecheck 14 dagen gratis, geen creditcard nodig.