SSL-tanúsítványok érvényessége: automatikus megújítás kiesés nélkül
Az SSL-tanúsítványok érvényessége fokozatosan rövidül. A 2026. március 15-től kiadott, nyilvánosan megbízható tanúsítványok legfeljebb 200 napig, a 2027. március 15-től kiadottak legfeljebb 100 napig, a 2029. március 15-től kiadottak pedig már csak 47 napig lehetnek érvényesek (CA/Browser Forum Baseline Requirements). Egy évig érvényes tanúsítványt tehát már nem kaphat, a kézi cserét pedig egyre gyakrabban kellene megismételni. Ahhoz, hogy a weboldal, a webáruház és az integrációk ne álljanak le egy lejárt tanúsítvány miatt, szüksége van az összes tanúsítvány leltárára, automatikus megújításra, emberi beavatkozás nélküli domainellenőrzésre és független monitoringra, amely jelez, ha a megújítás meghiúsul.
A köznyelv SSL-tanúsítványnak hívja őket; technikailag a TLS protokollhoz tartozó tanúsítványokról van szó, erre a protokollra épül a HTTPS. Ha a tanúsítványt a tárhelyszolgáltató automatikusan megújítja, általában elég ellenőrizni a megújítást és monitoringot beállítani. A legtöbb munkát a kézi vagy saját megújítású rendszerek igénylik.
Mi változik és mikortól
Szabályok minden nyilvánosan megbízható tanúsítványra
A böngészők által elfogadott tanúsítványok szabályait a CA/Browser Forum határozza meg – a tanúsítványkiadók, valamint a böngészők és más szoftverek szállítóinak önkéntes szervezete. Egy céges weboldal szempontjából a Baseline Requirements két időtartama fontos, és mindkettő fokozatosan rövidül: a tanúsítvány maximális érvényességi ideje, valamint az az időtartam, ameddig a tanúsítványkiadó újra felhasználhatja a domain feletti rendelkezés már elvégzett ellenőrzését (Baseline Requirements, 4.2.1. és 6.3.2. szakasz).
| A tanúsítvány kiállítása | A tanúsítvány maximális érvényessége | A domainellenőrzés maximális újrafelhasználása |
|---|---|---|
| 2026. március 15. előtt | 398 nap | 398 nap |
| 2026. március 15-től | 200 nap | 200 nap |
| 2027. március 15-től | 100 nap | 100 nap |
| 2029. március 15-től | 47 nap | 10 nap |
A cég számára ez azt jelenti, hogy egyre gyakrabban kell igazolnia, hogy rendelkezik a domainje felett. Az ellenőrzést ezért nem elég egyszer, kézzel beállítani az első tanúsítványnál – minden megújításkor megbízhatóan kell működnie.
Let’s Encrypt: 45 nap, és nincs több e-mailes értesítés
Az ingyenes Let’s Encrypt tanúsítványkiadó az alapértelmezett profiljában 90 napig érvényes tanúsítványokat ad ki. 2025 decemberében közzétette a rövidítés ütemtervét: az opcionális tlsserver profil 2026. május 13-tól 45 napos tanúsítványokat ad ki, az alapértelmezett classic profil pedig 2027. február 10-én 64 napra, 2028. február 16-án 45 napra vált. A domainellenőrzés újrafelhasználása az alapértelmezett profilban a mai 30 napról 2027 februárjában 10 napra, 2028 februárjában 7 órára rövidül. A változások az említett dátumok utáni első megújításkor lépnek életbe (Let’s Encrypt: Decreasing Certificate Lifetimes to 45 Days).
Ezenkívül a Let’s Encrypt 2025. június 4-én megszüntette a tanúsítványok közelgő lejáratáról szóló e-mailek küldését, és helyettük egy harmadik fél monitoringszolgáltatását ajánlja (Let’s Encrypt: Ending Support for Expiration Notification Emails). Ha ezekre az e-mailekre támaszkodott, a Let’s Encrypt már nem küld Önnek figyelmeztetést.
Gyakorlati példa: egy cég öt címe
Az alábbi példa szemléltető jellegű, nem valós ügyfélről szól; a címek az example.com mintadomaint használják. Egy kisebb cég a leltár során rájön, hogy öt HTTPS-címének tanúsítványait mindenhol másképp kezelik:
| Cím | Hogyan újul meg ma a tanúsítvány | Kockázat rövidebb érvényesség mellett | Teendő |
|---|---|---|---|
| www.example.com – WordPress menedzselt tárhelyen | automatikusan, a tárhelyszolgáltatón keresztül | alacsony, amíg a domain a tárhelyre mutat | ellenőrizni a megújítást a tárhelyszolgáltatónál, és külső monitoringot beállítani |
| eshop.example.com – saját szerver | ütemező által 60 naponta egyszer futtatott ACME-kliens | magas: a fix időköz már nem lesz elég | napi ellenőrzés és megújítás ARI alapján vagy az érvényesség kétharmadánál |
| b2b.example.com – terheléselosztó mögötti portál | 2026 márciusa előtt egy évre vásárolt, kézzel feltöltött kereskedelmi tanúsítvány | magas: a következő tanúsítvány legfeljebb 200 napig, 2027. március 15-től legfeljebb 100 napig lesz érvényes | automatizálás ACME-n vagy a szolgáltató felületén keresztül, a terheléselosztóra történő telepítéssel együtt |
| *.example.com – belső eszközök | wildcard tanúsítvány, kézzel hozzáadott TXT rekord a DNS-ben | magas: kézi DNS-módosítás egyre gyakoribb ellenőrzés mellett | DNS-01 korlátozott API-hozzáféréssel a DNS-hez |
| staging.example.com | senki | közepes: a tanúsítvány észrevétlenül lejár | automatizálni vagy a címet megszüntetni |
A legnagyobb kockázatot tehát nem a fő weboldal jelenti, hanem a saját vagy kézi megújítású rendszerek: a webáruház, a B2B portál és a wildcard tanúsítvány. A webáruház 60 napos időközzel futó ütemezője a mai 90 napos tanúsítványoknál működik. A 2027 februárjától kiadott 64 napos tanúsítványoknál azonban csak 4 nap tartalék marad, 45 napos tanúsítványoknál pedig a tanúsítvány a megújítás előtt lejárna. A Let’s Encrypt kifejezetten leírja, hogy 45 napos tanúsítványokhoz a fix 60 napos időköz nem elég, és a kézi megújítást nem ajánlja (Let’s Encrypt).
A bevezetés lépésről lépésre
- Készítsen leltárt. Minden HTTPS-t használó domainnél és aldomainnél jegyezze fel, ki adja ki a tanúsítványt, hol van telepítve (szerver, terheléselosztó, CDN, levelezőszerver), hogyan újul meg, ki felel érte és mikor jár le. Ne feledkezzen meg a staging környezetről, a régi kampányoldalakról és az API-címekről sem.
- Határozza meg a megújítás módját. Ha a tanúsítványt a tárhelyszolgáltató vagy a CDN kezeli, ellenőrizze, hogy a megújítás valóban automatikusan fut-e. Saját szervereken használjon az ACME (Automated Certificate Management Environment) protokollt támogató klienst. A kézi megújítást csak ideiglenes kivételként tartsa meg, a kiváltás határidejével.
- Válassza ki a domainellenőrzés módját. A HTTP-01 módszernél a kliens egy fájlt helyez el a
http://example.com/.well-known/acme-challenge/címen, a tanúsítványkiadó pedig a 80-as porton keresztül letölti. A DNS-01 módszernél a kliens egy_acme-challengenevű TXT rekordot hoz létre (Let’s Encrypt: Challenge Types). A választást részletesebben a következő rész táblázata tárgyalja. - Állítsa be a megújítás időzítését. Ha a kliense támogatja, kapcsolja be az ARI-t (ACME Renewal Information). Az RFC 9773 szabvány szerint a tanúsítványkiadó megújítási időablakot javasolhat a kliensnek, például korábbi megújítást a tanúsítványok tömeges visszavonása előtt (RFC 9773). Az ARI bekapcsolásának módja az adott klienstől függ. ARI nélkül az ütemező gyakran – javaslatunk szerint naponta – ellenőrizze a tanúsítványokat, és nagyjából az érvényességük kétharmadánál újítsa meg őket; a Let’s Encrypt ezt elfogadható viselkedésnek tekinti (Let’s Encrypt).
- Automatizálja a telepítést. A megújított tanúsítványt minden olyan rendszernek használatba kell vennie, amely a látogatóknak küldi: a webszervernek újratöltés után, a terheléselosztónak, a CDN-nek és a levelezőszervernek is. Az új fájl a lemezen nem elég, ha a szerver továbbra is a régi tanúsítványt küldi.
- Kapcsoljon be független monitoringot. Azt a tanúsítványt ellenőrizze, amelyet a cím ténylegesen küld, ne a szerveren lévő fájlt. A riasztásnak egy konkrét személyhez kell eljutnia, ha a megújítás nem történt meg a várt időben – például egy 30 nap után megújított 45 napos tanúsítványnál akkor, amikor 10 napnál kevesebb van hátra. A meg nem újított tanúsítványokra figyelmeztető monitoringot a Let’s Encrypt is ajánlja.
- Tesztelje előre az automatizálást. Ha az ACME-kliense támogatja a profilválasztást, a rövidebb érvényességet már most kipróbálhatja: az opcionális
tlsserverprofil 45 napos tanúsítványokat ad ki, és a Let’s Encrypt tesztelésre is alkalmasnak nevezi. A további változásokat nagyjából egy hónappal az éles dátumok előtt vezeti be a staging nevű tesztkörnyezetében (Let’s Encrypt). - Készítsen eljárást a rendkívüli cseréhez. Bizonyos esetekben, például a privát kulcs kompromittálódásakor, a tanúsítványkiadónak 24 órán belül vissza kell vonnia a tanúsítványt (Baseline Requirements, 4.9.1.1. szakasz). Írja le, ki és hogyan cseréli le a tanúsítványt az ütemezésen kívül, és az eljárást legalább évente egyszer próbálja ki.
Hogyan válassza ki a domainellenőrzést és a megújítás módját
A döntés attól függ, hol fut a tanúsítvány, és ki kezeli a DNS-t. A táblázatban szereplő módszerek tulajdonságai a Let’s Encrypt dokumentációján alapulnak, az ajánlások a mieink (Let’s Encrypt: Challenge Types).
| Helyzet | Ajánlott megoldás | Mire kell figyelni |
|---|---|---|
| Tárhelyen vagy CDN mögött futó weboldal, ahol a szolgáltató maga adja ki a tanúsítványt | a szolgáltató automatizálása | ellenőrizni a megújítást DNS- vagy proxyváltozás után, és külső monitoringot beállítani |
| Egyetlen, az internetről a 80-as porton elérhető szerver | ACME-kliens HTTP-01 módszerrel | sem tűzfal, sem jelszó, sem karbantartási mód nem blokkolhatja az ellenőrző fájlt |
| Több szerver terheléselosztó mögött | DNS-01, vagy a tanúsítvány központi kiadása és szétosztása | HTTP-01 esetén az ellenőrző fájlnak minden szerveren elérhetőnek kell lennie |
| Wildcard tanúsítvány vagy az internetről nem elérhető szerver | DNS-01 | minimális jogosultságú DNS API-kulcs vagy delegált _acme-challenge rekord |
| Automatizálást nem támogató rendszer | ideiglenesen kézzel, monitoringgal, majd csere vagy fordított proxy a rendszer előtt | 2027. március 15-től legfeljebb 100, 2029. március 15-től legfeljebb 47 nap érvényesség |
A DNS-01-nek csak akkor van értelme, ha a DNS-szolgáltatója API-t kínál az automatikus módosításokhoz. A webszerveren tárolt teljes körű DNS API-hozzáférés növeli egy esetleges feltörés hatását, ezért a Let’s Encrypt szűk jogosultságú hozzáférési adatokat vagy különálló szerverről végzett ellenőrzést javasol. Az ellenőrző rekord CNAME segítségével külön zónába delegálható. Ha a szolgáltató nem tudja megerősíteni, hogy a DNS-módosítás már mindenhová eljutott, a kliensnek elég hosszan kell várnia, gyakran akár egy órát is. A harmadik módszer, a TLS-ALPN-01, a Let’s Encrypt szerint a legtöbb felhasználó számára nem megfelelő; főként nagy tárhelyszolgáltatóknak való (Let’s Encrypt: Challenge Types).
A Let’s Encrypt 2025 decemberében bejelentette, hogy a CA/Browser Forum és az IETF partnereivel együtt szabványosítja az új DNS-PERSIST-01 ellenőrzési módszert, amelynél a TXT rekord nem változik minden megújításkor (Let’s Encrypt). Mielőtt számolna vele a terveiben, ellenőrizze, hogy a tanúsítványkiadója és az ACME-kliense már támogatja-e.
Előnyök és kompromisszumok
A rövidebb érvényességnek biztonsági oka van: a Let’s Encrypt szerint korlátozza egy kompromittálódás hatókörét, és hatékonyabbá teszi a tanúsítványok visszavonását (Let’s Encrypt). A cég számára az automatizálás fő előnye, hogy a tanúsítványcsere már nem olyan esemény, amelyre valakinek emlékeznie kell. Számoljon azonban a következő kompromisszumokkal:
- Az ellenőrzéshez hozzáférés kell. A HTTP-01-hez minden szerveren a 80-as port szükséges, a DNS-01-hez hozzáférés a DNS-hez. Mindkét hozzáférést biztonságossá kell tenni.
- Több mozgó alkatrész. Az ütemezőt, a telepítést és a monitoringot is karban kell tartani, a riasztásokat pedig valakinek el kell olvasnia.
- Függés a tanúsítványkiadótól. Ha a megújítás kellő időben elindul, a tanúsítványkiadó rövid kiesését egy újabb próbálkozással áthidalhatja.
- Régebbi rendszerek. Egyes eszközök és alkalmazások nem támogatják az automatizálást, ezért proxyra vagy cserére van szükségük.
Mikor elég kevés is: ha egyetlen weboldala van olyan tárhelyen, amely maga újítja meg a tanúsítványokat, gyakran elég ellenőrizni a megújítást a tárhelyszolgáltatónál, és külső monitoringot beállítani. Nagyobb projektnek több domain, saját szerverek, B2B portálok és integrációk esetén van értelme.
Gyakori hibák
- Az ütemező fix időközönként, például 60 naponta újít meg, nem pedig az ARI vagy a hátralévő érvényesség alapján.
- A cég a tanúsítványkiadó e-mailjére vár, amelyet a Let’s Encrypt már nem küld.
- A tanúsítvány megújul, de a webszerver, a terheléselosztó vagy a CDN továbbra is a régit küldi.
- Tűzfal, geoblokkolás, a staging környezet jelszava vagy a karbantartási mód blokkolja az ellenőrző fájlt, amelyet a Let’s Encrypt több helyről, ismételten is letölthet. A szokásos HTTPS-átirányítás nem gond – a Let’s Encrypt legfeljebb 10 átirányítást követ, de csak a 80-as vagy a 443-as portra (Let’s Encrypt: Challenge Types).
- Teljes körű DNS API-kulcs van közvetlenül a webszerveren.
- A DNS-ben felhalmozódnak a régi
_acme-challengeTXT rekordok; ha a válasz túl nagy lesz, a Let’s Encrypt elutasítja az ellenőrzést. - Az eljárást csak egyetlen ember ismeri, és sehol sincs leírva.
Ellenőrzőlista
Mielőtt a rövidebb érvényesség elérné a tanúsítványait, pipálja ki a következőket:
- a leltár tartalmazza az összes domaint, aldomaint, telepítési helyet és felelőst,
- minden tanúsítvány automatikusan megújul, vagy rögzített ideiglenes kivétel vonatkozik rá, kiváltási határidővel,
- a megújítás az ARI-t vagy a hátralévő érvényességet követi, nem fix időközt,
- a domainellenőrzés emberi beavatkozás nélkül és minimális jogosultságokkal zajlik,
- a megújított tanúsítvány automatikusan települ mindenhová, ahol használják,
- a külső monitoring a cím által ténylegesen küldött tanúsítványt ellenőrzi, és egy konkrét személyt riaszt,
- az automatizálást kipróbálták a tanúsítványkiadó tesztkörnyezetében,
- a tanúsítvány 24 órán belüli cseréjének eljárása le van írva és ki van próbálva.
Gyakori kérdések
A rövidebb érvényesség a fizetős tanúsítványokra is vonatkozik?
Igen. A Baseline Requirements szabályai a nyilvánosan megbízható TLS-tanúsítványokra az áruktól függetlenül vonatkoznak. A Let’s Encrypt szerint hasonló változásokat vezet be minden nyilvánosan megbízható tanúsítványkiadó. Szolgáltatóváltással nem kerülheti el a rövidebb érvényességet.
Elég, ha a tanúsítványt a tárhelyszolgáltató újítja meg?
Menedzselt tárhelyen futó egyszerű weboldalnál gyakran igen. Ellenőrizze azonban, hogy a tárhelyszolgáltató minden aldomainhez megújítja-e a tanúsítványt, és mi történik DNS-változás vagy CDN bevezetése után. Külső monitoringot ebben az esetben is javaslunk, mert a Let’s Encrypt e-mailes értesítései már nem érkeznek meg.
Mikor van szükségem DNS-alapú ellenőrzésre HTTP helyett?
Wildcard tanúsítványoknál, amelyeket a HTTP-01 módszer nem támogat, az internetről nem elérhető szervereknél, és gyakran több, terheléselosztó mögötti szervernél is. A DNS-01-hez azonban API-t kínáló DNS-szolgáltató és a hozzáférési adatok biztonságos tárolása szükséges.
Milyen gyorsan kell tudnunk ütemezésen kívül tanúsítványt cserélni?
Órákban gondolkodjon, ne hetekben. Pontosan meghatározott esetekben, például kulcskompromittálódáskor, a tanúsítványkiadónak 24 órán belül vissza kell vonnia a tanúsítványt. Az automatikus megújítás és a leírt eljárás ezért a váratlan helyzetekre való felkészültségnek is része.
Szeretné kézben tartani a tanúsítványait?
Segítünk összeállítani a tanúsítványok leltárát, és beállítani az automatikus megújítást, a domainellenőrzést és a monitoringot a weboldalához, webáruházához és B2B portáljához. Nézze meg, hogyan közelítjük meg a weboldalkészítést és a folyamatautomatizálást, vagy egyszerűen írjon nekünk.
Források
- CA/Browser Forum: Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates – a tanúsítványok maximális érvényessége, a domainellenőrzés újrafelhasználása és a 24 órán belüli visszavonás
- Let’s Encrypt: Decreasing Certificate Lifetimes to 45 Days – a Let’s Encrypt ütemterve, az ARI, valamint az automatizálásra és a monitoringra vonatkozó ajánlások
- Let’s Encrypt: Ending Support for Expiration Notification Emails – a lejáratról szóló e-mailes értesítések megszűnése
- Let’s Encrypt: Challenge Types – a HTTP-01, DNS-01 és TLS-ALPN-01 ellenőrzési módszerek
- RFC 9773: ACME Renewal Information (ARI) Extension – a javasolt megújítási időablak szabványa