Ett certifikat knyter ett domännamn till en publik nyckel och är signerat av en certifikatutfärdare. Varje certifikat gäller mellan två datum, notBefore och notAfter, i formatet X.509 enligt RFC 5280. ”SSL-certifikat” är det gamla namnet; dagens anslutningar använder TLS (RFC 8446 för TLS 1.3).
Livslängderna blir kortare. Sedan 15 mars 2026 får publikt betrodda certifikat vara giltiga i högst 200 dagar, vilket sjunker till 100 dagar i mars 2027 och 47 dagar i mars 2029, enligt beslut av CA/Browser Forum. Let’s Encrypt-certifikat gäller i 90 dagar. Korta livslängder gör automatisk förnyelse nödvändig.
Automatisk förnyelse misslyckas ändå: en ändrad DNS-post stoppar valideringen, en brandvägg blockerar utmaningen, servern laddas inte om efter förnyelsen, eller så hanteras ett certifikat på en lastbalanserare för hand. Att bevaka utgångsdatumet på certifikatet som faktiskt serveras visar när förnyelsen inte blev av.