Pred nekaj leti je bilo samoumevno, da potrdilo SSL enkrat kupimo, namestimo in se z njim eno leto ni treba ukvarjati. To obdobje se je končalo: od 15. marca 2026 lahko potrdilo velja največ 200 dni, ta meja pa se bo v naslednjih letih še zniževala, od 2029 na 47 dni.

Kdo odloča o veljavnosti potrdil?

Pravila za potrdila določa CA/Browser Forum. To je skupna organizacija izdajateljev potrdil (CA) in proizvajalcev brskalnikov (Apple, Google, Microsoft, Mozilla). Osnovne zahteve (Baseline Requirements), ki jih sprejme, mora upoštevati vsak izdajatelj potrdil, sicer brskalniki njegovih potrdil ne sprejmejo.

Največja veljavnost se je v zadnjih letih postopno zniževala:

Obdobje	Največja veljavnost
od 1. marca 2018	825 dni (pribl. 27 mesecev)
od 1. septembra 2020	398 dni (pribl. 13 mesecev)
od 15. marca 2026	200 dni
od 15. marca 2027	100 dni
od 15. marca 2029	47 dni

Omejitev 398 dni je uvedel Apple: Safari in Applovi sistemi od 1. septembra 2020 niso sprejemali potrdil z daljšo veljavnostjo, drugi udeleženci pa so se temu prilagodili. O nadaljnjem zniževanju je CA/Browser Forum glasoval aprila 2025 (predlog SC-081). Predlog so izdajatelji potrdil podprli brez glasu proti, štirje veliki proizvajalci brskalnikov pa soglasno.

Krajša se tudi veljavnost preverjanja

Pred izdajo potrdila izdajatelj preveri, ali vlagatelj res razpolaga z domeno. To preverjanje (domain validation) je bilo doslej mogoče znova uporabiti 398 dni, kar pomeni, da ga eno leto ni bilo treba ponoviti. Tudi ta čas se krajša: od 2026 na 200, od 2027 na 100, od 2029 pa na vsega 10 dni. V praksi bo tako od 2029 treba razpolaganje z domeno dokazati skoraj ob vsaki izdaji potrdila.

Preverjanje podatkov organizacije (ime podjetja, naslov), ki je potrebno za potrdila s preverjeno organizacijo (OV) in z razširjenim preverjanjem (EV), ostane od 2026 veljavno 398 dni, zato ga zadošča ponoviti enkrat na leto.

Zakaj je to dobro?

Na prvi pogled krajša veljavnost pomeni le več dela. Za odločitvijo pa so resni varnostni razlogi:

• Preklic ne deluje zanesljivo. Če skrivni ključ potrdila pride v napačne roke, je potrdilo mogoče preklicati, vendar brskalniki sezname preklicev pogosto ne preverjajo ali jih preverjajo z zamudo. Z ukradenim ključem je tako mogoče zlorabljati potrdilo celo do njegovega poteka. Krajša ko je veljavnost, krajše je to časovno okno.
• Domene menjajo lastnike. Če domena poteče in postane last nekoga drugega, lahko potrdilo prejšnjega lastnika ostane veljavno še mesece. Zaradi krajše veljavnosti in pogostejšega preverjanja potrdilo prej preide k pravemu lastniku.
• Hitreje je mogoče zamenjati. Če se izkaže, da postopek šifriranja ni več varen (ali je treba zaradi kvantnih računalnikov preiti na nove algoritme), se potrdila s kratko življenjsko dobo zamenjajo v nekaj tednih, ne v letih.
• Vsili avtomatizacijo. Ročno nameščena potrdila se redno pozabijo in povzročijo izpade zaradi poteklega potrdila. Če je potrdilo tako ali tako treba pogosto menjati, vsi avtomatizirajo in napake zaradi poteka izginejo.

Kaj pa 90-dnevna potrdila Let’s Encrypt?

Brezplačna potrdila Let’s Encrypt od začetka veljajo 90 dni in so bila vedno zasnovana na samodejnem podaljševanju. Dolgo so bila to „kratka” potrdila in tudi Google je celotni industriji predlagal 90-dnevni maksimum. Na koncu sprejeto pravilo gre še dlje, tudi Let’s Encrypt pa svoja potrdila še krajša:

Datum	Privzeta veljavnost Let’s Encrypt
trenutno	90 dni
od 10. februarja 2027	64 dni
od 16. februarja 2028	45 dni

Kdor želi, lahko pri Let’s Encrypt že zdaj zahteva 45-dnevno, celo 6-dnevno potrdilo.

Let’s Encrypt prosi tudi, naj podaljšanje ne poteka v fiksnih presledkih (na primer vsakih 60 dni), ker bi bilo to pri 64- in 45-dnevnih potrdilih že prepozno. Podaljšanje naj se začne pri približno dveh tretjinah življenjske dobe potrdila ali, če program za podaljšanje to podpira, na podlagi ACME Renewal Information (ARI), ko izdajatelj sporoči, da je čas za podaljšanje.

Kaj to pomeni zate?

Če na gostovanju aWh uporabljaš brezplačno potrdilo

Nimaš dela. Na našem gostovanju sistem potrdila samodejno pridobi in podaljša za vsako domeno, ki kaže na naše imenske strežnike (glej: Vklop brezplačnega potrdila Let’s Encrypt na spletnem gostovanju). Krajša veljavnost pomeni le, da se zamenjava v ozadju zgodi pogosteje.

Pazi, da je preverjanje razpolaganja z domeno uspešno tudi, če DNS domene upravljaš drugje ali je pred gostovanjem proxy (na primer Cloudflare). Če podaljšanje ne uspe, se to zaradi pogostejšega podaljševanja pokaže prej, a tudi potrdilo prej poteče.

Če uporabljaš plačljivo potrdilo

Plačljivo potrdilo lahko še vedno kupiš za eno ali več let, vendar je treba potrdilo v tem obdobju večkrat znova izdati in namestiti: od 2026 vsaj dvakrat na leto, od 2027 vsako četrtletje, od 2029 pa približno vsakih šest tednov. Do poteka naročnine so te ponovne izdaje brezplačne, razpolaganje z domeno pa je treba dokazati vsakič (glej: Načini preverjanja domene).

Če je domena na tvojem gostovanju cPanel pri nas, potrdilo na portalu za stranke nastavi v načinu Autoinstall (via cPanel): takrat so preverjanje, namestitev in ponovna izdaja samodejni. Pri potrdilu, nameščenem na drug strežnik, moraš ponovno izdajo opraviti sam, na to te opomnimo po e-pošti. Oba primera opisuje članek Nastavitev in ponovna izdaja plačljivega potrdila SSL.

Če ne potrebuješ potrdila OV ali EV, je vredno razmisliti o samodejno podaljšanem brezplačnem potrdilu, glej: Let’s Encrypt ali plačljivi SSL: katerega izbrati?

Če upravljaš lasten strežnik

Ročna menjava potrdil bo do leta 2029 praktično nevzdržna, zato je vredno avtomatizirati že zdaj:

• Uporabi odjemalca ACME (na primer Certbot ali acme.sh), glej: Pridobitev potrdila Let’s Encrypt s Certbotom in Potrdilo wildcard Let’s Encrypt s preverjanjem prek DNS.
• Preveri, ali podaljšanje ni vezano na fiksen presledek (na primer 60 dni). Če je, ga nastavi na dve tretjini življenjske dobe ali uporabi odjemalca, ki podpira ARI.
• Pomisli tudi na naprave, na katere potrdilo običajno nalagaš ročno: poštne strežnike, izenačevalnike obremenitve, usmerjevalnike, tiskalnike, notranje aplikacije.
• Nastavi spremljanje poteka potrdil, glej: Kako preverim, kdaj poteče moje potrdilo SSL?

Kaj bo z že izdanimi potrdili?

Spremembe zadevajo le nova potrdila. Prej izdano potrdilo ostane veljavno do poteka, tudi če je njegova veljavnost daljša od novega pravila. Ob naslednjem podaljšanju pa zanj že velja novo, krajše obdobje.