Krótsza ważność certyfikatów SSL: automatyczne odnawianie bez przestojów

Maksymalna ważność certyfikatów SSL jest stopniowo skracana. Publicznie zaufane certyfikaty wydane od 15 marca 2026 r. mogą być ważne najwyżej 200 dni, od 15 marca 2027 r. najwyżej 100 dni, a od 15 marca 2029 r. już tylko 47 dni (CA/Browser Forum Baseline Requirements). Certyfikatu ważnego przez rok już więc nie dostaniesz, a ręczną wymianę trzeba by powtarzać coraz częściej. Aby strona, sklep internetowy i integracje nie przestały działać z powodu wygasłego certyfikatu, potrzebujesz spisu wszystkich certyfikatów, automatycznego odnawiania, walidacji domeny bez udziału człowieka i niezależnego monitoringu, który powiadomi Cię, gdy odnowienie się nie powiedzie.

Potocznie nazywa się je certyfikatami SSL, technicznie chodzi o certyfikaty dla protokołu TLS, na którym opiera się HTTPS. Jeśli hosting sam odnawia certyfikat, zwykle wystarczy sprawdzić odnawianie i dodać monitoring. Najwięcej pracy wymagają systemy z ręcznym lub własnym odnawianiem.

Co się zmienia i od kiedy

Zasady dla wszystkich publicznie zaufanych certyfikatów

Zasady dla certyfikatów, którym ufają przeglądarki, ustala CA/Browser Forum – dobrowolne stowarzyszenie urzędów certyfikacji oraz dostawców przeglądarek i innego oprogramowania. Dla firmowej strony internetowej ważne są dwa okresy określone w jego Baseline Requirements, które są stopniowo skracane: maksymalny okres ważności certyfikatu oraz czas, przez który urząd certyfikacji może ponownie wykorzystać przeprowadzoną już weryfikację kontroli nad domeną (Baseline Requirements, sekcje 4.2.1 i 6.3.2).

Certyfikat wydany	Maksymalna ważność certyfikatu	Maksymalne ponowne wykorzystanie walidacji domeny
przed 15 marca 2026 r.	398 dni	398 dni
od 15 marca 2026 r.	200 dni	200 dni
od 15 marca 2027 r.	100 dni	100 dni
od 15 marca 2029 r.	47 dni	10 dni

Dla firmy oznacza to, że kontrolę nad domeną będzie musiała potwierdzać coraz częściej. Nie wystarczy więc raz ręcznie skonfigurować walidacji przy pierwszym certyfikacie – walidacja domeny musi niezawodnie działać przy każdym odnowieniu.

Let’s Encrypt: 45 dni i koniec przypomnień e-mailowych

Bezpłatny urząd certyfikacji Let’s Encrypt wydaje w profilu domyślnym certyfikaty ważne 90 dni. W grudniu 2025 r. opublikował harmonogram skracania: opcjonalny profil tlsserver wydaje certyfikaty 45-dniowe od 13 maja 2026 r., a domyślny profil classic ma przejść na 64 dni 10 lutego 2027 r. i na 45 dni 16 lutego 2028 r. Okres ponownego wykorzystania walidacji domeny w profilu domyślnym skróci się z obecnych 30 dni do 10 dni w lutym 2027 r. i do 7 godzin w lutym 2028 r. Zmiany zaczną obowiązywać przy pierwszym odnowieniu po tych datach (Let’s Encrypt: Decreasing Certificate Lifetimes to 45 Days).

Ponadto 4 czerwca 2025 r. Let’s Encrypt przestał wysyłać e-maile o zbliżającym się wygaśnięciu certyfikatów i zamiast nich zaleca usługę monitoringu firmy zewnętrznej (Let’s Encrypt: Ending Support for Expiration Notification Emails). Jeśli Twoja firma polegała na tych e-mailach, od Let’s Encrypt nie przyjdzie już żadne przypomnienie.

Praktyczny przykład: pięć adresów jednej firmy

Poniższy przykład jest ilustracyjny i nie dotyczy rzeczywistego klienta; adresy wykorzystują przykładową domenę example.com. Podczas inwentaryzacji niewielka firma odkrywa, że certyfikatem każdego z jej pięciu adresów HTTPS zarządza się inaczej:

Adres	Jak certyfikat jest dziś odnawiany	Ryzyko przy krótszej ważności	Działanie
www.example.com – WordPress na zarządzanym hostingu	automatycznie przez hosting	niskie, dopóki domena wskazuje na hosting	sprawdzić odnawianie u dostawcy hostingu i dodać zewnętrzny monitoring
eshop.example.com – własny serwer	klient ACME uruchamiany przez harmonogram zadań raz na 60 dni	wysokie: stały interwał przestanie wystarczać	codzienna kontrola i odnawianie według ARI lub po dwóch trzecich okresu ważności
b2b.example.com – portal za load balancerem	komercyjny certyfikat kupiony na rok przed marcem 2026 r., wgrywany ręcznie	wysokie: kolejny certyfikat będzie ważny najwyżej 200 dni, a od 15 marca 2027 r. najwyżej 100 dni	automatyzacja przez ACME lub interfejs dostawcy, łącznie z wdrożeniem na load balancer
*.example.com – narzędzia wewnętrzne	certyfikat wildcard, rekord TXT w DNS dodawany ręcznie	wysokie: ręczne zmiany DNS przy coraz częstszej walidacji	DNS-01 z ograniczonym dostępem API do DNS
staging.example.com	nikt	średnie: certyfikat wygaśnie niezauważony	zautomatyzować albo wyłączyć adres

Największym ryzykiem nie jest więc główna strona, lecz systemy z własnym lub ręcznym odnawianiem: sklep internetowy, portal B2B i certyfikat wildcard. Harmonogram zadań sklepu z interwałem 60 dni działa przy dzisiejszych certyfikatach 90-dniowych. Przy certyfikatach 64-dniowych od lutego 2027 r. zostaną jednak tylko 4 dni zapasu, a przy 45-dniowych certyfikat wygasłby, zanim zostałby odnowiony. Let’s Encrypt wprost stwierdza, że stały interwał 60 dni nie wystarcza przy certyfikatach 45-dniowych, i nie zaleca ręcznego odnawiania (Let’s Encrypt).

Wdrożenie krok po kroku

Spisz certyfikaty. Dla każdej domeny i subdomeny z HTTPS zapisz, kto wydaje certyfikat, gdzie jest zainstalowany (serwer, load balancer, CDN, serwer pocztowy), jak jest odnawiany, kto za niego odpowiada i kiedy wygasa. Nie zapomnij o środowisku staging, starych stronach kampanii i adresach API.
Ustal sposób odnawiania. Jeśli certyfikatem zarządza hosting lub CDN, sprawdź, czy odnawianie naprawdę działa automatycznie. Na własnych serwerach użyj klienta protokołu ACME (Automated Certificate Management Environment). Ręczne odnawianie zostaw tylko jako tymczasowy wyjątek z terminem zastąpienia.
Wybierz walidację domeny. W metodzie HTTP-01 klient umieszcza plik pod adresem http://example.com/.well-known/acme-challenge/, a urząd certyfikacji pobiera go przez port 80. W metodzie DNS-01 klient tworzy rekord TXT o nazwie _acme-challenge (Let’s Encrypt: Challenge Types). Wybór szczegółowo omawia tabela w następnej części.
Ustaw moment odnawiania. Jeśli Twój klient to obsługuje, włącz ARI (ACME Renewal Information). Zgodnie ze standardem RFC 9773 urząd certyfikacji może zaproponować klientowi okno odnowienia, na przykład wcześniejsze odnowienie przed masowym unieważnieniem certyfikatów (RFC 9773). Sposób włączenia ARI zależy od konkretnego klienta. Bez ARI niech harmonogram zadań sprawdza certyfikaty często – zalecamy codziennie – i odnawia je mniej więcej po upływie dwóch trzecich okresu ważności, co Let’s Encrypt opisuje jako akceptowalne zachowanie (Let’s Encrypt).
Zautomatyzuj wdrażanie. Odnowionego certyfikatu musi zacząć używać każdy system, który przesyła go odwiedzającym: serwer WWW po przeładowaniu, load balancer, CDN i serwer pocztowy. Nowy plik na dysku nie wystarczy, jeśli serwer nadal wysyła stary certyfikat.
Włącz niezależny monitoring. Sprawdzaj certyfikat, który adres faktycznie wysyła, a nie plik na serwerze. Alert powinien trafić do konkretnej osoby, gdy odnowienie nie nastąpiło w oczekiwanym czasie – na przykład przy certyfikacie 45-dniowym odnawianym po 30 dniach wtedy, gdy zostało mniej niż 10 dni. Monitoring, który ostrzega przed nieodnowionymi certyfikatami, zaleca również Let’s Encrypt.
Przetestuj automatyzację z wyprzedzeniem. Jeśli Twój klient ACME obsługuje wybór profilu, krótszą ważność możesz wypróbować już teraz: opcjonalny profil tlsserver wydaje certyfikaty 45-dniowe, a Let’s Encrypt wskazuje go jako odpowiedni także do testów. Kolejne zmiany wprowadza w swoim środowisku testowym (staging) mniej więcej miesiąc przed datami produkcyjnymi (Let’s Encrypt).
Przygotuj procedurę awaryjnej wymiany. W określonych przypadkach, na przykład przy kompromitacji klucza prywatnego, urząd certyfikacji musi unieważnić certyfikat w ciągu 24 godzin (Baseline Requirements, sekcja 4.9.1.1). Zapisz, kto i jak wymieni certyfikat poza planem, i przećwicz procedurę co najmniej raz w roku.

Jak wybrać walidację domeny i sposób odnawiania

Decyduje to, gdzie działa certyfikat i kto zarządza DNS. Właściwości metod w tabeli opierają się na dokumentacji Let’s Encrypt, rekomendacje są nasze (Let’s Encrypt: Challenge Types).

Sytuacja	Zalecany sposób	Na co uważać
Strona na hostingu lub za CDN, które same wydają certyfikat	automatyzacja dostawcy	sprawdzić odnawianie po zmianie DNS lub proxy i dodać zewnętrzny monitoring
Jeden serwer dostępny z internetu na porcie 80	klient ACME z HTTP-01	ani firewall, ani hasło, ani tryb konserwacji nie mogą blokować pliku walidacyjnego
Kilka serwerów za load balancerem	DNS-01 albo centralne wydawanie i dystrybucja certyfikatu	przy HTTP-01 plik walidacyjny musi być dostępny na wszystkich serwerach
Certyfikat wildcard lub serwer niedostępny z internetu	DNS-01	klucz API do DNS z minimalnymi uprawnieniami albo delegowany rekord `_acme-challenge`
System bez obsługi automatyzacji	tymczasowo ręcznie z monitoringiem, potem wymiana lub reverse proxy przed systemem	od 15 marca 2027 r. najwyżej 100 dni, od 15 marca 2029 r. najwyżej 47 dni ważności

DNS-01 ma sens tylko wtedy, gdy Twój dostawca DNS oferuje API do automatycznych zmian. Pełny dostęp API do DNS zapisany na serwerze WWW zwiększa skutki ewentualnego włamania, dlatego Let’s Encrypt zaleca wąsko ograniczone dane dostępowe albo walidację z oddzielnego serwera. Rekord walidacyjny można przez CNAME delegować do osobnej strefy. Jeśli dostawca nie potrafi potwierdzić, że zmiana w DNS się rozpropagowała, klient musi odczekać wystarczająco długo, często nawet godzinę. Trzecia metoda, TLS-ALPN-01, według Let’s Encrypt nie jest odpowiednia dla większości użytkowników; sprawdza się głównie u dużych dostawców hostingu (Let’s Encrypt: Challenge Types).

W grudniu 2025 r. Let’s Encrypt ogłosił, że wraz z partnerami w CA/Browser Forum i IETF standaryzuje nową metodę walidacji DNS-PERSIST-01, w której rekord TXT nie zmienia się przy każdym odnowieniu (Let’s Encrypt). Zanim uwzględnisz ją w planach, sprawdź, czy obsługuje ją już Twój urząd certyfikacji i Twój klient ACME.

Zalety i kompromisy

Krótsza ważność ma uzasadnienie w bezpieczeństwie: według Let’s Encrypt ogranicza skutki kompromitacji i usprawnia unieważnianie certyfikatów (Let’s Encrypt). Dla firmy główną korzyścią automatyzacji jest to, że wymiana certyfikatu przestaje być wydarzeniem, o którym ktoś musi pamiętać. Licz się jednak z następującymi kompromisami:

Walidacja wymaga dostępu. HTTP-01 wymaga portu 80 na wszystkich serwerach, DNS-01 dostępu do DNS. Oba rodzaje dostępu trzeba zabezpieczyć.
Przybywa ruchomych części. Harmonogram zadań, wdrażanie i monitoring wymagają utrzymania, a alerty ktoś musi czytać.
Zależność od urzędu certyfikacji. Jeśli odnawianie zaczyna się z odpowiednim wyprzedzeniem, krótką awarię urzędu rozwiążesz ponowną próbą.
Starsze systemy. Niektóre urządzenia i aplikacje nie obsługują automatyzacji, dlatego potrzebują proxy lub zastąpienia.

Kiedy wystarczy niewiele: jeśli masz jedną stronę na hostingu, który sam odnawia certyfikaty, często wystarczy sprawdzić odnawianie u dostawcy hostingu i dodać zewnętrzny monitoring. Większy projekt ma sens przy wielu domenach, własnych serwerach, portalach B2B i integracjach.

Częste błędy

Harmonogram zadań odnawia certyfikaty w stałym interwale, na przykład raz na 60 dni, zamiast według ARI lub pozostałej ważności.
Firma czeka na e-mail od urzędu certyfikacji, którego Let’s Encrypt już nie wysyła.
Certyfikat zostaje odnowiony, ale serwer WWW, load balancer lub CDN nadal wysyła stary.
Firewall, geoblokada, hasło na środowisku staging lub tryb konserwacji blokuje plik walidacyjny, który Let’s Encrypt może pobierać wielokrotnie z wielu lokalizacji. Zwykłe przekierowanie na HTTPS nie przeszkadza – Let’s Encrypt podąża za maksymalnie 10 przekierowaniami, ale tylko na porty 80 lub 443 (Let’s Encrypt: Challenge Types).
Pełny klucz API do DNS leży bezpośrednio na serwerze WWW.
W DNS gromadzą się stare rekordy TXT _acme-challenge; gdy odpowiedź staje się zbyt duża, Let’s Encrypt zaczyna odrzucać walidację.
Procedurę zna tylko jedna osoba i nigdzie nie jest zapisana.

Lista kontrolna

Zanim krótsza ważność obejmie Twoje certyfikaty, odhacz:

spis obejmuje wszystkie domeny, subdomeny, miejsca instalacji i osoby odpowiedzialne,
każdy certyfikat odnawia się automatycznie albo ma zapisany tymczasowy wyjątek z terminem zastąpienia,
odnawianie kieruje się ARI lub pozostałą ważnością, a nie stałym interwałem,
walidacja domeny przebiega bez udziału człowieka i z minimalnymi uprawnieniami,
odnowiony certyfikat jest automatycznie wdrażany wszędzie, gdzie jest używany,
zewnętrzny monitoring sprawdza certyfikat, który adres faktycznie wysyła, i powiadamia konkretną osobę,
automatyzacja została przetestowana w środowisku testowym urzędu certyfikacji,
procedura wymiany certyfikatu w ciągu 24 godzin jest spisana i przećwiczona.

Najczęściej zadawane pytania

Czy krótsza ważność dotyczy także płatnych certyfikatów?

Tak. Baseline Requirements obejmują wszystkie publicznie zaufane certyfikaty TLS bez względu na cenę. Let’s Encrypt podaje, że podobne zmiany wprowadzą wszystkie publicznie zaufane urzędy certyfikacji. Zmiana dostawcy nie pozwoli uniknąć krótszej ważności.

Czy wystarczy, że hosting sam odnawia certyfikat?

W przypadku prostej strony na zarządzanym hostingu często tak. Sprawdź jednak, czy hosting odnawia certyfikaty dla wszystkich subdomen i co się stanie po zmianie DNS lub wdrożeniu CDN. Zewnętrzny monitoring zalecamy również w tym przypadku, ponieważ przypomnienia e-mailowe od Let’s Encrypt już nie przychodzą.

Kiedy potrzebuję walidacji przez DNS zamiast HTTP?

Przy certyfikatach wildcard, których metoda HTTP-01 nie obsługuje, przy serwerach niedostępnych z internetu i często także przy kilku serwerach za load balancerem. DNS-01 wymaga jednak dostawcy DNS z API i bezpiecznego przechowywania danych dostępowych.

Jak szybko musimy umieć wymienić certyfikat poza planem?

Licz się z godzinami, nie tygodniami. W ściśle określonych przypadkach, na przykład przy kompromitacji klucza, urząd certyfikacji musi unieważnić certyfikat w ciągu 24 godzin. Automatyczne odnawianie i spisana procedura są więc również elementem gotowości na sytuacje kryzysowe.

Chcesz mieć certyfikaty pod kontrolą?

Pomożemy Ci spisać certyfikaty oraz skonfigurować automatyczne odnawianie, walidację domeny i monitoring dla strony internetowej, sklepu internetowego i portalu B2B. Zobacz, jak podchodzimy do tworzenia stron internetowych i automatyzacji procesów, albo po prostu napisz do nas.

Źródła

CA/Browser Forum: Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates – maksymalna ważność certyfikatów, ponowne wykorzystanie walidacji domeny i unieważnienie w ciągu 24 godzin
Let’s Encrypt: Decreasing Certificate Lifetimes to 45 Days – harmonogram Let’s Encrypt, ARI oraz zalecenia dotyczące automatyzacji i monitoringu
Let’s Encrypt: Ending Support for Expiration Notification Emails – koniec przypomnień e-mailowych o wygaśnięciu
Let’s Encrypt: Challenge Types – metody walidacji HTTP-01, DNS-01 i TLS-ALPN-01
RFC 9773: ACME Renewal Information (ARI) Extension – standard sugerowanego okna odnowienia