Od 15 marca 2027 certyfikat SSL wygasa najpóźniej po 100 dniach

Od 15 marca 2027 żaden nowo wystawiony publiczny certyfikat TLS, potocznie SSL, nie będzie ważny dłużej niż 100 dni. Tak stanowią Baseline Requirements CA/B Forum, czyli zasady, których musi przestrzegać każdy urząd certyfikacji. Let’s Encrypt zrobi to wcześniej: od 10 lutego 2027 domyślnie będzie wystawiać certyfikaty na 64 dni.

Gdy certyfikat odnawia się sam, sprawdź tylko, czy ktoś się dowie o nieudanym odnowieniu. Certyfikat wgrywany ręcznie trzeba będzie od marca wymieniać co najmniej trzy, a w praktyce cztery razy w roku.

Limit spada z 200 do 100 dni

Certyfikat wystawiony do 14 marca 2026 mógł być ważny 398 dni, czyli nieco ponad rok, i stąd wziął się zwyczaj wymiany raz w roku. Limit obowiązujący od 15 marca 2026 to 200 dni, więc certyfikat wystawiony dziś nie wytrzyma nawet siedmiu miesięcy. Od 15 marca 2027 spadnie do 100 dni, a od 15 marca 2029 do 47.

Sprawdź wystawcę i datę wygaśnięcia

Wystawcę i datę wygaśnięcia pokaże przeglądarka w informacjach o certyfikacie po kliknięciu ikony obok adresu strony. Przy kilku adresach szybciej sprawdzi to komenda na Linuksie z OpenSSL 1.1.1 albo 3.x, z Twoim adresem w obu miejscach:

echo | openssl s_client -connect sklep.example.pl:443 \
  -servername sklep.example.pl 2>/dev/null \
  | openssl x509 -noout -issuer -enddate -checkend 1209600

Pierwsza linia wyniku to wystawca, druga to notAfter, czyli data wygaśnięcia. Liczba 1209600 to 14 dni w sekundach. Gdy zostało mniej, OpenSSL dopisze „Certificate will expire” i zakończy się błędem, więc tę samą komendę da się wstawić do skryptu z alertem.

Wystawca podpowiada, kto odnawia certyfikat: za Let’s Encrypt i Amazonem zwykle stoi automat, a przy Certum, Sectigo czy DigiCert najczęściej ktoś kupił plik i wgrał go ręcznie. Sprawdź każdy adres osobno, bo panel klienta albo bramka VPN często mają inny certyfikat niż strona. Gdy strona stoi za Cloudflare z włączonym proxy albo za CloudFront, komenda pokaże certyfikat CDN, więc na samym serwerze uruchom ją jeszcze raz, wpisując 127.0.0.1:443 po -connect.

Gdzie psuje się odnowienie z Let’s Encrypt

Od 4 czerwca 2025 Let’s Encrypt nie wysyła maili o wygasających certyfikatach.

Według dokumentacji certbota starsze wersje odnawiają certyfikat na 30 dni przed końcem, a od wersji 4.0 wtedy, gdy zostaje mniej niż jedna trzecia ważności, więc certbot renew uruchamiany z timera albo crona zdąży także przy 64 dniach.

Certyfikat wystawiony z opcją --manual, często wildcard z ręcznie dodanym rekordem DNS, nie odnowi się sam, chyba że podasz certbotowi skrypt, który doda ten rekord. Własny skrypt albo cron z terminem wpisanym na sztywno może zadziałać za późno, dlatego Let’s Encrypt radzi przejrzeć takie skrypty i crony. Serwer WWW, którego nikt nie przeładuje po odnowieniu, dalej podaje stary certyfikat, więc polecenie przeładowania wpisz w opcji --deploy-hook, a certbot uruchomi je po każdym udanym odnowieniu.

W ACM walidacja e-mailem czeka na kliknięcie

Od 18 lutego 2026 AWS Certificate Manager wystawia certyfikaty publiczne na najwyżej 198 dni, a AWS pisze, że klient nie musi nic robić. Przy walidacji DNS certyfikat odnawia się sam, o ile jest podpięty do usługi AWS, np. do load balancera, a rekordy CNAME od ACM nadal są w DNS.

Certyfikat z walidacją e-mailem odnowi się dopiero, gdy ktoś kliknie link z maila, który ACM wysyła 45 dni przed końcem na adresy typu admin@ i webmaster@ w Twojej domenie. Przy 198 dniach ważności ktoś musi kliknąć mniej więcej co pięć miesięcy. Walidacji nie da się przełączyć na DNS, dlatego trzeba wystawić nowy certyfikat z walidacją DNS i podmienić go w usługach. Lepiej zrobić to od razu, bo zasady CA/B Forum od 15 marca 2028 zabraniają urzędom walidacji e-mailem na takie adresy.

Jedna opłacona usługa to kilka kolejnych certyfikatów

Według regulaminu certyfikatów SSL home.pl na dzień 21 października 2026 certyfikat Certum kupiony między 13 marca 2026 a 14 marca 2027 jest ważny 199 dni, a kupiony od 15 marca 2027 już 99. Do końca opłaconej usługi home.pl wystawia i wgrywa kolejne certyfikaty sam tylko wtedy, gdy strona stoi na hostingu współdzielonym home.pl, domena korzysta z serwerów DNS home.pl, a automatyczna instalacja jest włączona. W każdym innym przypadku, np. na własnym VPS albo w AWS, regulamin każe samemu śledzić komunikaty o nowym certyfikacie, pobrać go i wgrać przed wygaśnięciem poprzedniego.

Ręczna wymiana jest też wolniejsza, gdy problem pojawi się u wystawcy, jak w październiku 2026, kiedy przeglądarki w ciągu trzech dni przestały ufać ośmiu pośrednim certyfikatom urzędu eMudhra. Kto wgrywa pliki ręcznie, czeka wtedy na nowy certyfikat i na osobę, która go wgra.

Co to znaczy dla małej firmy

W tym tygodniu sprawdź w przeglądarce albo komendą każdy adres firmy i zapisz, kto wystawił certyfikat.

Przy Let’s Encrypt nie ma czego wymieniać, ale o awarii odnowienia nikt Cię nie uprzedzi. Dodaj monitoring z alertem na 14 dni przed końcem ważności. Mogę go też prowadzić razem z alertami o dostępności i dysku w ramach stałej opieki nad serwerami.

W ACM zmień tylko certyfikaty z walidacją e-mailem, czyli te, które ktoś zatwierdził, klikając link w mailu od Amazona. Wystaw nowe z walidacją DNS, zanim przyjdzie kolejny mail.

Ręcznie wgrywany certyfikat komercyjny zastąp wszędzie, gdzie się da: na zwykłym serwerze certyfikatem z Let’s Encrypt, a na load balancerze albo w CloudFront certyfikatem z ACM. Gdzie się nie da, wpisz daty wygaśnięcia do kalendarza i do monitoringu. Zrób to przed 15 marca 2027, a jeśli nie zdążysz, zamów kolejny certyfikat komercyjny tak, żeby został wystawiony przed tym dniem, bo może być ważny jeszcze do 200 dni zamiast 100.