Kortare giltighetstid för Let's Encrypt-certifikat: vad betyder det för dig?

Let's Encrypt är den kostnadsfria utfärdaren av certifikat som de flesta webbplatser använder, även hos WebOké. Ett certifikat från Let's Encrypt gäller i dag i 90 dagar. Det blir kortare, och Let's Encrypt skickar redan inga påminnelsemejl längre när ett certifikat snart går ut. Här läser du vad som ändras och vad du behöver göra.

Det här ändras

Även en godkänd kontroll av ditt domännamn sparas kortare tid: från februari 2027 i tio dagar, från februari 2028 bara i sju timmar. Det märker du främst om du beställer ett certifikat manuellt via en DNS-post: då måste du göra det steget oftare.

Let's Encrypt följer därmed reglerna från CA/Browser Forum, som gäller för alla utfärdare. Ett certifikat med kortare giltighet begränsar skadan om något går fel, till exempel om en nyckel läcker ut. Följden för dig: att förnya manuellt är inte längre ett alternativ. Det måste ske automatiskt, och du behöver själv hålla koll på att det fungerar.

På ditt webbhotell: inget att göra

På ett webbhotellspaket beställer DirectAdmin certifikatet och förnyar det automatiskt. Du behöver inte ändra något för det. Din domän måste dock fortsätta peka mot vår server, eftersom Let's Encrypt kontrollerar det igen vid förnyelsen. Se Aktivera och förnya SSL-certifikat och lösa problem.

Hur länge ditt certifikat gäller ser du med Domänhälsa. Går det ut inom 14 dagar visar verktyget att förnyelsen ligger efter. Titta då i DirectAdmin under SSL Certificates om det finns misslyckade kontroller.

Använder du ett certifikat även utanför ditt paket, till exempel för att du kopierar det manuellt till en annan enhet eller tjänst? Då måste du snart göra det med några veckors mellanrum. Låt hellre den enheten eller tjänsten beställa ett eget certifikat.

På en VPS: ordna och kontrollera själv

På en VPS sköter du förnyelsen själv, med certbot, Caddy eller ACME-klienten i din programvara. Se nginx med ett certifikat från Let's Encrypt och Caddy: en webbplats med automatisk https. Gå igenom följande med certbot:

1. Kontrollera att timern för förnyelse finns och körs:

   systemctl list-timers 'certbot*'

2. Gör en testförnyelse. Den beställer inget riktigt certifikat:

   sudo certbot renew --dry-run

   Avslutas den med ett meddelande om att alla simuleringar lyckades, så fungerar förnyelsen.
3. Laddar din webbserver även det nya certifikatet? Med insticksprogrammet för nginx sköter certbot det själv. Använder du certbot certonly, lägg då in en deploy hook som laddar om din webbserver.
4. Håll din ACME-klient uppdaterad via paketkällan. Let's Encrypt rekommenderar ARI (ACME Renewal Information): med det talar Let's Encrypt själv om när ett certifikat behöver förnyas.

Har du gjort ett eget skript eller en cronrad som till exempel förnyar var 60:e dag? Det går fel så fort certifikaten får kortare giltighet. Låt klienten själv avgöra när det är dags, och låt den kontrollera minst en gång om dagen.

VPS:en och allt som körs på den hanterar du själv. Vi hjälper till med WebOké-delen: panelen, nätverket och snapshots.

Bevaka utgångsdatumet

Eftersom det inte längre kommer några påminnelsemejl rekommenderar Let's Encrypt själv att du bevakar att förnyelsen lyckas. En övervakningstjänst som läser utgångsdatumet för ditt certifikat och varnar när det är mindre än 14 dagar kvar fångar upp en förnyelse som misslyckats i det tysta i tid. Se Övervaka din webbplats: tillgänglighet, certifikat och domän.

Läs mer

• Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, engelska)
• Expiration Notification Service Has Ended (Let's Encrypt, engelska)

Vill du lära dig mer? Gå den kostnadsfria kursen VPS och Linux-serveradministration, lektion 7.3 https med Let's Encrypt.