Sedan den 15 mars 2026 får ett publikt betrott SSL/TLS-certifikat gälla i högst 200 dagar. Gränsen sänks till 100 dagar den 15 mars 2027 och till 47 dagar den 15 mars 2029. Om du förnyar något certifikat för hand i dag kommer du att behöva göra det minst åtta gånger om året 2029. Lösningen är att automatisera förnyelsen nu och att övervaka att automatiseringen fortsätter att fungera.
Tidsplanen kommer från CA/Browser Forum, gruppen av certifikatutfärdare och webbläsartillverkare som skriver reglerna som varje publikt certifikat följer. Den här guiden förklarar tidsplanen, den mindre omtalade förändringen av domänvalidering och vad du ska göra före varje deadline.
Tidsplanen
Omröstningen SC-081v3, som antogs i april 2025, ändrade forumets Baseline Requirements i tre steg. Två gränser sänks samtidigt: hur länge ett certifikat får gälla och hur länge en certifikatutfärdare får återanvända en tidigare kontroll av att du kontrollerar domänen.
Certifikatet utfärdasLängsta giltighetstidDomänvalidering återanvänds i upp tillFöre 15 mars 2026398 dagar398 dagarFrån 15 mars 2026200 dagar200 dagarFrån 15 mars 2027100 dagar100 dagarFrån 15 mars 202947 dagar10 dagar
På omröstningens sida finns resultatet och hela texten. Gränserna gäller när ett certifikat utfärdas. Ett certifikat som utfärdats före en deadline gäller fram till sitt eget utgångsdatum, så inget du har i dag slutar fungera den 15 mars. Det kan bara inte ersättas med ett som gäller lika länge.
Vad återanvändning av domänvalidering betyder
Innan en certifikatutfärdare utfärdar ett certifikat kontrollerar den att du kontrollerar domänen, till exempel genom att be dig publicera en DNS-post eller servera en fil över HTTP. Hittills har den kunnat återanvända den kontrollen i över ett år. Från mars 2029 är återanvändningsperioden 10 dagar, så nästan varje förnyelse kommer att kräva en ny kontroll. En förnyelse som tidigare fungerade tack vare en sparad validering blir nu beroende av att din DNS och din webbserver svarar rätt varje gång.
Varför livslängden blir kortare
Uppgifterna i ett certifikat blir inaktuella. Domäner säljs, företag byter hosting, nycklar läcker. En kortare livslängd begränsar hur länge ett inaktuellt eller komprometterat certifikat kan användas.
Återkallelse är opålitlig. Webbläsare kan inte alltid kontrollera om ett certifikat har återkallats. Utgångsdatumet är skyddsnätet som alltid fungerar, och ett kortare slår till tidigare.
Det tvingar fram automatisering. Manuell årlig förnyelse är just den process som fallerar: personen som skötte den har slutat, påminnelsen gick till en gammal inkorg. När förnyelsen sker ofta måste den automatiseras, och automatiserade processer kan snabbt byta algoritm eller utfärdare när det behövs.
Let’s Encrypt går ännu längre
Let’s Encrypts certifikat gäller redan i 90 dagar, väl inom alla gränser ovan. I Decreasing Certificate Lifetimes to 45 Days presenterade organisationen sin egen tidsplan:
13 maj 2026: den valfria profilen tlsserver utfärdar certifikat på 45 dagar.
10 februari 2027: standardprofilen classic går över till certifikat på 64 dagar, och valideringar återanvänds i 10 dagar i stället för 30.
16 februari 2028: standarden går över till certifikat på 45 dagar, och valideringar återanvänds bara i 7 timmar.
Let’s Encrypt slutade också skicka e-post om certifikat som löper ut 2025. Om du förlitade dig på dem för att upptäcka en misslyckad förnyelse ersätts de inte av något, om du inte själv sätter upp det.
En checklista för att bli redo
1. Hitta alla certifikat du har
Webbplatsen är den enkla. Lista också API-endpoints, adminpaneler, staging-sajter, e-postservrar, lastbalanserare, edge-certifikat i CDN:er och gamla kampanjsubdomäner. Certificate Transparency-loggarna registrerar varje publikt certifikat, så en sökning efter din domän i dem (till exempel på crt.sh) visar certifikat som ingen minns att de beställt. SSL-kontrollen visar utgångsdatum, utfärdare, namn och kedja för vilken värd som helst.
2. Automatisera förnyelsen med ACME
ACME är standardprotokollet för att begära och förnya certifikat utan att en människa behöver vara inblandad (RFC 8555). Certbot, acme.sh och Caddy talar det, liksom de flesta hostingpaneler, lastbalanserare och CDN:er. Många kommersiella utfärdare stöder det också, så även betalda certifikat kan automatiseras. Förnya i god tid före utgångsdatumet, när ungefär en tredjedel av livslängden återstår, så att ett misslyckat försök hinner göras om.
3. Se till att valideringen fungerar varje gång
Med en återanvändningsperiod på 10 dagar kräver varje förnyelse en godkänd validering. Kontrollera metoden du använder:
HTTP-validering kräver att port 80 är öppen och att /.well-known/acme-challenge/ går att nå, utan en omdirigering till en inloggningssida eller en brandväggsregel i vägen.
DNS-validering kräver API-åtkomst till din DNS-leverantör och inloggningsuppgifter som inte löper ut i tysthet.
CAA-poster måste, om du publicerar sådana, ange den utfärdare du använder. En CAA-post som ligger kvar från en tidigare leverantör blockerar utfärdandet. Slå upp dem med verktyget DNS-uppslag.
En ändrad DNS-post är en av de vanligaste orsakerna till att en förnyelse som fungerat i flera år plötsligt misslyckas. DNS-övervakning talar om när en post ändras.
4. Driftsätt det du förnyar
Ett förnyat certifikat på disken gör ingenting förrän servern läser in det. Se till att din klient laddar om webbservern efter förnyelsen och att varje server bakom en lastbalanserare får det nya certifikatet, inte bara den där förnyelsen kördes. Enheter och tjänster där certifikatet måste laddas upp för hand är där kortare livslängd svider mest; ta reda på redan nu om de kan hämta ett automatiskt.
5. Tänk om kring manuellt köpta certifikat
Ett certifikat som säljs som en ettårsprodukt kan inte längre utfärdas för ett år. Sedan mars 2026 måste det utfärdas på nytt minst en gång under perioden, och från 2029 ungefär var sjätte vecka. Om ett organisationsvaliderat certifikat är ett krav, fråga din utfärdare hur den stöder ACME före steget till 100 dagar 2027.
6. Övervaka certifikatet som faktiskt serveras
Automatisering fallerar i tysthet: en API-token för DNS som har gått ut, en serverflytt där förnyelsetimern föll bort, en omladdning som aldrig blev av. Det enda pålitliga testet är att titta på certifikatet som besökarna får, utifrån och enligt ett schema. Vår guide om övervakning av SSL-certifikats utgångsdatum går igenom detaljerna, och SSL-certifikatfel förklarade visar vad besökarna ser när det går fel.
Vad varje deadline betyder i praktiken
Nu, med 200 dagar: varje certifikat byts minst två gånger om året. En manuell process fungerar fortfarande, men det är nu du ska göra inventeringen och automatisera, medan en missad förnyelse fortfarande är ovanlig.
Från 15 mars 2027, med 100 dagar: minst fyra byten om året. Ett certifikat som laddas upp för hand till en enhet eller en hostingpanel blir en kvartalssyssla som någon kommer att glömma.
Från 15 mars 2029, med 47 dagar: minst åtta byten om året, vart och ett med en ny domänvalidering. Allt manuellt kommer att fallera förr eller senare, och det gör även automatisering vars DNS-uppgifter, brandväggsregler eller omladdningssteg ingen har testat.
Arbetet är detsamma i varje steg: färre manuella certifikat, en förnyelse som validerar och driftsätter av sig själv, och en extern kontroll som säger till när den inte gjorde det.
Så bevakar Uptimecheck dina certifikat
Varje HTTPS-monitor i Uptimecheck läser certifikatet vid varje kontroll, så det finns ingen separat SSL-monitor att sätta upp.
Påminnelser går till monitorns larmkanaler 30, 14, 7 och 1 dag innan certifikatet löper ut, och på själva dagen.
Antalet återstående dagar blir gult under 30 dagar och rött under 14, och certifikat som löper ut inom 14 dagar listas under Behöver åtgärd i översikten.
Ett utgånget, självsignerat eller felmatchat certifikat gör att kontrollen misslyckas, så det öppnar en incident precis som vilket avbrott som helst. Ett saknat mellanliggande certifikat visas som Ofullständig kedja.
Anpassa påminnelserna efter när du förnyar. Om din klient förnyar med mer än 30 dagar kvar betyder varje påminnelse att en förnyelse har misslyckats. Om den förnyar senare, som den kommer att göra med certifikat på 47 dagar, kommer påminnelsen om 30 dagar före varje förnyelse, och det är den första påminnelsen efter klientens förnyelsetidpunkt som kräver åtgärd. Läs hur du övervakar när SSL-certifikat löper ut.
Domänregistreringen har ett eget utgångsdatum, och inget certifikat hjälper när den har gått ut. Domänövervakning påminner dig samma dagar; kontrollera vilken domän som helst med kontrollen av domänens utgångsdatum.
Kortare certifikat behöver inte betyda fler avbrott. Testa Uptimecheck gratis i 14 dagar, inget kreditkort behövs.