Siden 15. mars 2026 kan et offentlig klarert SSL/TLS-sertifikat være gyldig i høyst 200 dager. Grensen faller til 100 dager 15. mars 2027 og til 47 dager 15. mars 2029. Hvis du fornyer et sertifikat manuelt i dag, må du gjøre det minst åtte ganger i året innen 2029. Løsningen er å automatisere fornyelsen nå, og å overvåke at automatiseringen fortsetter å virke.
Tidsplanen kommer fra CA/Browser Forum, gruppen av sertifikatutstedere og nettleserprodusenter som skriver reglene alle offentlige sertifikater følger. Denne guiden forklarer tidsplanen, den mindre omtalte endringen i domenevalidering, og hva du bør gjøre før hver frist.
Tidsplanen
Avstemningen SC-081v3, vedtatt i april 2025, endret forumets Baseline Requirements i tre trinn. To grenser faller samtidig: hvor lenge et sertifikat kan være gyldig, og hvor lenge en sertifikatutsteder kan gjenbruke en tidligere kontroll av at du har kontroll over domenet.
Sertifikat utstedtMaksimal gyldighetDomenevalidering gjenbrukes i opptilFør 15. mars 2026398 dager398 dagerFra 15. mars 2026200 dager200 dagerFra 15. mars 2027100 dager100 dagerFra 15. mars 202947 dager10 dager
Siden for avstemningen har resultatet og hele teksten. Grensene gjelder når et sertifikat utstedes. Et sertifikat som er utstedt før en frist, er gyldig til sin egen utløpsdato, så ingenting du har i dag slutter å virke 15. mars. Det kan bare ikke erstattes av et som varer like lenge.
Hva gjenbruk av domenevalidering betyr
Før en sertifikatutsteder utsteder et sertifikat, kontrollerer den at du har kontroll over domenet, for eksempel ved å be deg publisere en DNS-post eller levere en fil over HTTP. Til nå har den kunnet gjenbruke den kontrollen i over et år. Fra mars 2029 er gjenbruksperioden 10 dager, så nesten hver fornyelse vil kreve en ny kontroll. En fornyelse som før fungerte på en lagret validering, vil nå avhenge av at DNS og webserveren svarer riktig hver eneste gang.
Hvorfor levetiden blir kortere
Informasjonen i et sertifikat blir utdatert. Domener selges, selskaper bytter hosting, nøkler lekker. En kortere levetid begrenser hvor lenge et utdatert eller kompromittert sertifikat kan brukes.
Tilbakekalling er upålitelig. Nettlesere kan ikke alltid sjekke om et sertifikat er tilbakekalt. Utløpet er sikkerhetsnettet som alltid virker, og et kortere utløp virker tidligere.
Det tvinger fram automatisering. Manuell fornyelse én gang i året er nettopp den prosessen som svikter: den som gjorde det, har sluttet, og påminnelsen gikk til en gammel innboks. Når fornyelsen skjer ofte, må den automatiseres, og automatiserte prosesser kan raskt bytte algoritme eller utsteder når det trengs.
Let’s Encrypt går enda lenger
Sertifikater fra Let’s Encrypt varer allerede 90 dager, godt innenfor alle grensene ovenfor. I Decreasing Certificate Lifetimes to 45 Days kunngjorde de sin egen tidsplan:
13. mai 2026: den valgfrie profilen tlsserver utsteder sertifikater på 45 dager.
10. februar 2027: standardprofilen classic går over til sertifikater på 64 dager, og valideringer gjenbrukes i 10 dager i stedet for 30.
16. februar 2028: standarden går over til sertifikater på 45 dager, og valideringer gjenbrukes i bare 7 timer.
Let’s Encrypt sluttet også å sende e-postvarsler om utløp i 2025. Hvis du stolte på dem for å oppdage en mislykket fornyelse, er det ingenting som erstatter dem med mindre du setter det opp selv.
En sjekkliste for å bli klar
1. Finn alle sertifikatene du eier
Nettstedet er det enkle. List også opp API-endepunkter, administrasjonspaneler, staging-nettsteder, e-postservere, lastbalanserere, kantsertifikater i CDN-et og gamle kampanjesubdomener. Certificate Transparency-logger registrerer alle offentlige sertifikater, så et søk etter domenet ditt der (for eksempel på crt.sh) viser sertifikater ingen husker å ha bestilt. SSL-sjekkeren viser utløpsdato, utsteder, navn og kjede for en hvilken som helst vert.
2. Automatiser fornyelsen med ACME
ACME er standardprotokollen for å be om og fornye sertifikater uten at et menneske er involvert (RFC 8555). Certbot, acme.sh og Caddy støtter den, det samme gjør de fleste hostingpaneler, lastbalanserere og CDN-er. Mange kommersielle utstedere støtter den også, så betalte sertifikater kan automatiseres de også. Forny i god tid før utløp, når omtrent en tredjedel av levetiden er igjen, slik at et mislykket forsøk har tid til å bli prøvd på nytt.
3. Sørg for at valideringen virker hver gang
Med en gjenbruksperiode på 10 dager trenger hver fornyelse en vellykket validering. Sjekk metoden du bruker:
HTTP-validering krever at port 80 er åpen og at /.well-known/acme-challenge/ kan nås, uten en omdirigering til en innloggingsside eller en brannmurregel i veien.
DNS-validering krever API-tilgang hos DNS-leverandøren din, og påloggingsdetaljer som ikke utløper i det stille.
CAA-poster, hvis du publiserer dem, må oppgi utstederen du bruker. En CAA-post som er igjen fra en tidligere leverandør, blokkerer utstedelsen. Slå dem opp med verktøyet DNS-oppslag.
En endret DNS-post er en av de vanligste grunnene til at en fornyelse som har virket i årevis, plutselig feiler. DNS-overvåking sier fra når en post endres.
4. Ta i bruk det du fornyer
Et fornyet sertifikat på disken gjør ingenting før serveren laster det inn. Sørg for at klienten laster webserveren på nytt etter fornyelsen, og at alle servere bak en lastbalanserer får det nye sertifikatet, ikke bare den der fornyelsen kjørte. Enheter og tjenester der sertifikatet må lastes opp manuelt, er der kortere levetid gjør mest vondt; finn ut nå om de kan hente et automatisk.
5. Tenk nytt om manuelt kjøpte sertifikater
Et sertifikat som selges som et ettårsprodukt, kan ikke lenger utstedes for et år. Siden mars 2026 må det utstedes på nytt minst én gang i løpet av perioden, og fra 2029 omtrent hver sjette uke. Hvis et organisasjonsvalidert sertifikat er et krav, bør du spørre utstederen din hvordan den støtter ACME før steget til 100 dager i 2027.
6. Overvåk sertifikatet som faktisk leveres
Automatisering svikter i det stille: et utløpt API-token for DNS, en serverflytting der fornyelsestimeren falt bort, en omlasting som aldri skjedde. Den eneste pålitelige testen er å se på sertifikatet besøkende får, utenfra, etter en fast plan. Guiden vår om overvåking av utløp for SSL-sertifikater går gjennom detaljene, og SSL-sertifikatfeil forklart viser hva besøkende ser når det går galt.
Hva hver frist betyr i praksis
Nå, med 200 dager: hvert sertifikat byttes minst to ganger i året. En manuell prosess fungerer fortsatt, men dette er tiden for å lage oversikten og automatisere, mens en glemt fornyelse fortsatt er sjelden.
Fra 15. mars 2027, med 100 dager: minst fire bytter i året. Et sertifikat som lastes opp manuelt til en enhet eller et hostingpanel, blir en kvartalsvis oppgave som noen kommer til å glemme.
Fra 15. mars 2029, med 47 dager: minst åtte bytter i året, hver med en ny domenevalidering. Alt som er manuelt, vil svikte før eller siden, og det samme vil automatisering der ingen har testet DNS-påloggingen, brannmurreglene eller omlastingen.
Arbeidet er det samme på hvert trinn: færre manuelle sertifikater, fornyelse som validerer og tas i bruk av seg selv, og en ekstern sjekk som sier fra når det ikke skjedde.
Slik følger Uptimecheck med på sertifikatene dine
Hver HTTPS-monitor i Uptimecheck leser sertifikatet ved hver sjekk, så det er ingen egen SSL-monitor å sette opp.
Påminnelser går til monitorens varslingskanaler 30, 14, 7 og 1 dag før sertifikatet utløper, og på selve dagen.
Gjenstående dager blir gule under 30 dager og røde under 14, og sertifikater som utløper innen 14 dager, vises under Needs attention i oversikten.
Et utløpt, selvsignert eller feil tilpasset sertifikat gjør at sjekken feiler, så det åpner en hendelse som et hvilket som helst annet driftsavbrudd. Et manglende mellomliggende sertifikat vises som Incomplete chain.
Tilpass påminnelsene til når fornyelsen skjer. Hvis klienten din fornyer med mer enn 30 dager igjen, betyr enhver påminnelse at en fornyelse har feilet. Hvis den fornyer senere, slik den vil gjøre med sertifikater på 47 dager, kommer 30-dagerspåminnelsen før hver fornyelse, og den første påminnelsen etter klientens fornyelsestidspunkt er den du må handle på. Se hvordan du overvåker utløp for SSL-sertifikater.
Domeneregistreringen har sin egen utløpsdato, og ingen sertifikater hjelper når den har gått ut. Domeneovervåking minner deg på de samme dagene; sjekk et hvilket som helst domene med sjekkeren for domeneutløp.
Kortere sertifikater bør ikke bety flere driftsavbrudd. Prøv Uptimecheck gratis i 14 dager, uten kredittkort.