Potrdila Let’s Encrypt veljajo 90 dni, veljavnost pa se bo v naslednjih letih še skrajšala: profil tlsserver, izbirni od maja 2026, že daje 45-dnevna potrdila, privzeti profil pa bo po napovedi Let’s Encrypt od februarja 2027 64-dnevni, od februarja 2028 pa 45-dnevni. Podaljšanje je zato vsekakor treba avtomatizirati, ročni ukaz je potreben le za preverjanje in odpravljanje težav.

Na gostovanju nimaš dela

Na gostovanju cPanel in spletnem gostovanju sistem brezplačna potrdila podaljšuje samodejno; o tem piše članek o brezplačnih potrdilih Let’s Encrypt. Spodnje velja za lasten VPS ali namenski strežnik, kjer je potrdilo pridobil Certbot; pridobitev prikazuje članek o pridobitvi potrdila s Certbotom.

Stanje potrdil

sudo certbot certificates

Ukaz pri vsakem potrdilu izpiše domene, čas poteka (Expiry Date) in mesto datotek.

Ali samodejno podaljševanje teče?

Certbot ob namestitvi nastavi časovnik, ki potrdila preveri dvakrat na dan:

systemctl list-timers | grep -i certbot

Pri Certbotu, nameščenem iz paketa, je to certbot.timer, pri namestitvi s snap pa snap.certbot.renew.timer. Če časovnik teče, ločeno opravilo cron ni potrebno. Če ga ne najdeš, ga lahko nadomestiš z opravilom cron:

17 3,15 * * * /usr/bin/certbot renew --quiet

Ročno podaljšanje

sudo certbot renew

Ukaz podaljša le potrdila, ki so blizu poteka (pri 90-dnevnem potrdilu običajno 30 dni pred potekom). Takojšnje podaljšanje določenega potrdila zahtevaš s stikaloma --cert-name pelda.hu --force-renewal, vendar to uporabi le upravičeno, ker Let’s Encrypt omejuje, kolikokrat je mogoče zahtevati potrdilo za isto domeno.

Ponovno nalaganje spletnega strežnika

Spletni strežnik podaljšano potrdilo uporabi šele po ponovnem nalaganju. Pri potrdilih, pridobljenih z razširitvijo za Apache in Nginx, to opravi Certbot; v drugih primerih (na primer v načinu --standalone ali --webroot) navedi deploy hook:

sudo certbot renew --deploy-hook "systemctl reload nginx"

Certbot si to zapomni, zato se izvede tudi ob naslednjem samodejnem podaljšanju.

Če podaljšanje ne uspe

Najprej preizkusi podaljšanje brez prave zahteve:

sudo certbot renew --dry-run

Najpogostejši vzroki:

• Domena ne kaže več na ta strežnik ali poddomena www nima zapisa DNS.
• Požarni zid prepoveduje vrata 80; za preverjanje HTTP-01 morajo biti odprta.
• Preusmeritev ali .htaccess naredi mapo /.well-known/acme-challenge/ nedosegljivo.
• Zapis CAA izdaje ne dovoli Let’s Encrypt.

Podrobnosti napake vsebuje dnevnik /var/log/letsencrypt/letsencrypt.log.

Obvestilo o poteku

Let’s Encrypt od 4. junija 2025 ne pošilja e-poštnih obvestil o poteku, zato če se podaljšanje tiho pokvari, se to pokaže šele ob poteku. Dobro je nastaviti zunanjo nadzorno storitev ali lasten preverjalni skript; ukaze za to da članek o preverjanju poteka potrdila SSL.