Od 15 marca 2026 roku publicznie zaufany certyfikat SSL/TLS może być ważny maksymalnie 200 dni. 15 marca 2027 roku limit spada do 100 dni, a 15 marca 2029 roku do 47 dni. Jeśli dziś odnawiasz jakikolwiek certyfikat ręcznie, do 2029 roku będziesz musiał robić to co najmniej osiem razy w roku. Rozwiązanie: zautomatyzuj odnawianie już teraz i monitoruj, czy automatyzacja nadal działa.
Harmonogram pochodzi od CA/Browser Forum, czyli grupy urzędów certyfikacji i producentów przeglądarek, która ustala zasady obowiązujące każdy publiczny certyfikat. Ten poradnik wyjaśnia harmonogram, rzadziej omawianą zmianę w walidacji domeny i to, co zrobić przed każdym terminem.
Harmonogram
Głosowanie SC-081v3, przyjęte w kwietniu 2025 roku, zmieniło Baseline Requirements Forum w trzech krokach. Jednocześnie spadają dwa limity: jak długo certyfikat może być ważny i jak długo urząd certyfikacji może ponownie wykorzystywać wcześniejsze potwierdzenie, że kontrolujesz domenę.
Data wydania certyfikatuMaksymalna ważnośćPonowne użycie walidacji domeny doPrzed 15 marca 2026398 dni398 dniOd 15 marca 2026200 dni200 dniOd 15 marca 2027100 dni100 dniOd 15 marca 202947 dni10 dni
Na stronie głosowania znajdziesz wyniki i pełny tekst. Limity obowiązują w momencie wydania certyfikatu. Certyfikat wydany przed terminem pozostaje ważny do własnej daty wygaśnięcia, więc nic, co masz dziś, nie przestanie działać 15 marca. Po prostu nie da się go zastąpić certyfikatem ważnym równie długo.
Co oznacza ponowne użycie walidacji domeny
Zanim urząd certyfikacji wyda certyfikat, sprawdza, czy kontrolujesz domenę, na przykład prosząc o opublikowanie rekordu DNS lub udostępnienie pliku przez HTTP. Do tej pory mógł wykorzystywać to sprawdzenie ponad rok. Od marca 2029 roku okres ponownego użycia wynosi 10 dni, więc niemal każde odnowienie będzie wymagać świeżej walidacji. Odnowienie, które dotąd działało na zapamiętanej walidacji, będzie zależeć od tego, czy Twój DNS i serwer WWW za każdym razem odpowiedzą poprawnie.
Dlaczego okres ważności się skraca
Informacje w certyfikacie się dezaktualizują. Domeny są sprzedawane, firmy zmieniają hosting, klucze wyciekają. Krótszy okres ważności ogranicza, jak długo można używać nieaktualnego lub skompromitowanego certyfikatu.
Unieważnianie jest zawodne. Przeglądarki nie zawsze mogą sprawdzić, czy certyfikat został unieważniony. Wygaśnięcie to zabezpieczenie, które działa zawsze, a krótszy termin działa szybciej.
Wymusza automatyzację. Ręczne coroczne odnawianie to właśnie ten proces, który zawodzi: osoba, która się tym zajmowała, odeszła, przypomnienie trafiło na stary adres. Gdy odnowienia są częste, muszą być zautomatyzowane, a zautomatyzowane procesy mogą w razie potrzeby szybko zmienić algorytmy lub urzędy certyfikacji.
Let’s Encrypt idzie dalej
Certyfikaty Let’s Encrypt już teraz są ważne 90 dni, czyli wyraźnie mieszczą się we wszystkich limitach powyżej. W komunikacie Decreasing Certificate Lifetimes to 45 Days ogłosił własny harmonogram:
13 maja 2026: opcjonalny profil tlsserver wydaje certyfikaty 45-dniowe.
10 lutego 2027: domyślny profil classic przechodzi na certyfikaty 64-dniowe, a walidacje są ponownie wykorzystywane przez 10 dni zamiast 30.
16 lutego 2028: domyślny profil przechodzi na certyfikaty 45-dniowe, a walidacje są ponownie wykorzystywane tylko przez 7 godzin.
W 2025 roku Let’s Encrypt przestał też wysyłać e-maile z powiadomieniami o wygaśnięciu. Jeśli to dzięki nim zauważałeś nieudane odnowienie, nic ich nie zastąpi, dopóki sam tego nie skonfigurujesz.
Lista kontrolna przygotowań
1. Znajdź każdy swój certyfikat
Strona internetowa to ten łatwy przypadek. Spisz też endpointy API, panele administracyjne, środowiska stagingowe, serwery pocztowe, load balancery, certyfikaty brzegowe CDN i stare subdomeny kampanii. Logi Certificate Transparency rejestrują każdy publiczny certyfikat, więc przeszukanie ich pod kątem Twojej domeny (na przykład w crt.sh) pokaże certyfikaty, których zamówienia nikt nie pamięta. Narzędzie do sprawdzania SSL pokazuje datę wygaśnięcia, wystawcę, nazwy i łańcuch dla dowolnego hosta.
2. Zautomatyzuj odnawianie za pomocą ACME
ACME to standardowy protokół do zamawiania i odnawiania certyfikatów bez udziału człowieka (RFC 8555). Obsługują go Certbot, acme.sh i Caddy, a także większość paneli hostingowych, load balancerów i CDN. Wspiera go też wiele komercyjnych urzędów certyfikacji, więc płatne certyfikaty również da się zautomatyzować. Odnawiaj z dużym wyprzedzeniem, gdy zostaje około jednej trzeciej okresu ważności, żeby nieudana próba miała czas na ponowienie.
3. Zadbaj, by walidacja działała za każdym razem
Przy 10-dniowym okresie ponownego użycia każde odnowienie wymaga udanej walidacji. Sprawdź metodę, której używasz:
Walidacja HTTP wymaga otwartego portu 80 i dostępnego /.well-known/acme-challenge/, bez przekierowania na stronę logowania i bez blokującej reguły zapory.
Walidacja DNS wymaga dostępu do API dostawcy DNS i danych uwierzytelniających, które nie wygasają po cichu.
Rekordy CAA, jeśli je publikujesz, muszą wskazywać urząd certyfikacji, z którego korzystasz. Rekord CAA pozostały po poprzednim dostawcy blokuje wydanie certyfikatu. Sprawdź je narzędziem DNS lookup.
Zmieniony rekord DNS to jeden z najczęstszych powodów, dla których odnowienie działające latami nagle zawodzi. Monitorowanie DNS powiadomi Cię, gdy któryś się zmieni.
4. Wdrażaj to, co odnawiasz
Odnowiony certyfikat na dysku nic nie daje, dopóki serwer go nie wczyta. Upewnij się, że klient po odnowieniu przeładowuje serwer WWW i że każdy serwer za load balancerem dostaje nowy certyfikat, a nie tylko ten, na którym uruchomiono odnowienie. Urządzenia i usługi, do których certyfikat trzeba wgrywać ręcznie, najbardziej odczują krótsze okresy ważności; sprawdź już teraz, czy mogą pobierać certyfikat automatycznie.
5. Przemyśl ręcznie kupowane certyfikaty
Certyfikatu sprzedawanego jako produkt roczny nie da się już wydać na rok. Od marca 2026 roku trzeba go wydać ponownie co najmniej raz w trakcie okresu subskrypcji, a od 2029 roku mniej więcej co sześć tygodni. Jeśli certyfikat z walidacją organizacji (OV) jest wymogiem, zapytaj swój urząd certyfikacji, jak obsługuje ACME, zanim w 2027 roku wejdzie limit 100 dni.
6. Monitoruj certyfikat, który faktycznie jest serwowany
Automatyzacja zawodzi po cichu: wygasły token API do DNS, przeprowadzka serwera, która pominęła timer odnowień, przeładowanie, które nigdy nie nastąpiło. Jedyny wiarygodny test to regularne sprawdzanie z zewnątrz certyfikatu, który dostają odwiedzający. Szczegóły omawia nasz poradnik o monitorowaniu wygasania certyfikatów SSL, a artykuł błędy certyfikatów SSL w pigułce pokazuje, co widzą odwiedzający, gdy coś pójdzie nie tak.
Co każdy termin oznacza w praktyce
Teraz, przy 200 dniach: każdy certyfikat wymienia się co najmniej dwa razy w roku. Ręczny proces nadal działa, ale to moment, by zrobić inwentaryzację i automatyzację, póki pominięte odnowienie zdarza się rzadko.
Od 15 marca 2027, przy 100 dniach: co najmniej cztery wymiany w roku. Certyfikat wgrywany ręcznie do urządzenia lub panelu hostingowego staje się kwartalnym obowiązkiem, o którym ktoś w końcu zapomni.
Od 15 marca 2029, przy 47 dniach: co najmniej osiem wymian w roku, każda ze świeżą walidacją domeny. Wszystko, co ręczne, prędzej czy później zawiedzie, podobnie jak automatyzacja, w której nikt nie przetestował danych uwierzytelniających DNS, reguł zapory ani kroku przeładowania.
Na każdym etapie praca jest ta sama: mniej ręcznych certyfikatów, odnawianie, które samo przechodzi walidację i samo się wdraża, oraz kontrola z zewnątrz, która powie Ci, gdy coś nie zadziałało.
Jak Uptimecheck pilnuje Twoich certyfikatów
Każdy monitor HTTPS w Uptimecheck odczytuje certyfikat przy każdej kontroli, więc nie trzeba konfigurować osobnego monitora SSL.
Przypomnienia trafiają na kanały alertów monitora 30, 14, 7 i 1 dzień przed wygaśnięciem certyfikatu oraz w dniu wygaśnięcia.
Liczba pozostałych dni robi się bursztynowa poniżej 30 dni i czerwona poniżej 14, a certyfikaty wygasające w ciągu 14 dni pojawiają się w przeglądzie w sekcji Needs attention.
Wygasły, samopodpisany lub niepasujący certyfikat oznacza nieudaną kontrolę, więc otwiera incydent jak każda inna awaria. Brakujący certyfikat pośredni jest oznaczany jako Incomplete chain.
Dopasuj przypomnienia do terminów odnawiania. Jeśli Twój klient odnawia certyfikat, gdy zostaje ponad 30 dni, każde przypomnienie oznacza nieudane odnowienie. Jeśli odnawia później, jak będzie przy certyfikatach 47-dniowych, przypomnienie 30-dniowe przyjdzie przed każdym odnowieniem, a działania wymaga pierwsze przypomnienie po terminie odnowienia ustawionym w kliencie. Zobacz, jak monitorować wygasanie certyfikatu SSL.
Rejestracja domeny ma własną datę wygaśnięcia, a gdy wygaśnie, żaden certyfikat nie pomoże. Monitorowanie domen przypomina w te same dni; dowolną domenę sprawdzisz narzędziem do sprawdzania wygaśnięcia domeny.
Krótsze certyfikaty nie muszą oznaczać więcej awarii. Wypróbuj Uptimecheck za darmo przez 14 dni, bez karty kredytowej.