Let’s Encrypt-Zertifikate sind 90 Tage lang gültig, und die Gültigkeitsdauer wird in den kommenden Jahren weiter verkürzt: Das seit Mai 2026 wählbare „tlsserver“-Profil stellt bereits Zertifikate mit einer Gültigkeitsdauer von 45 Tagen aus, und laut Ankündigung von Let’s Encrypt wird das Standardprofil ab Februar 2027 eine Gültigkeitsdauer von 64 Tagen und ab Februar 2028 von 45 Tagen haben. Die Verlängerung muss daher unbedingt automatisiert werden; der manuelle Befehl wird nur noch zu Überprüfungs- und Fehlerbehebungszwecken benötigt.

Auf dem Webhosting-Server müssen Sie nichts unternehmen

Bei cPanel-Hosting und Webhosting werden die kostenlosen Zertifikate vom System automatisch verlängert; weitere Informationen hierzu finden Sie im Artikel über die kostenlosen Let’s Encrypt-Zertifikate. Die folgenden Informationen gelten für selbst betriebene VPS oder dedizierte Server, bei denen das Zertifikat mit Certbot beantragt wurde; die Beantragung wird im Artikel zur Zertifikatsbeantragung mit Certbot erläutert.

Status der Zertifikate

sudo certbot certificates

Der Befehl listet für jedes Zertifikat die Domains, das Ablaufdatum (Expiry Date) und den Speicherort der Dateien auf.

Ist die automatische Verlängerung aktiviert?

Certbot richtet bei der Installation einen Timer ein, der die Zertifikate zweimal täglich überprüft:

systemctl list-timers | grep -i certbot

Bei einer Paketinstallation von Certbot ist dies „certbot.timer“, bei einer Snap-Installation „snap.certbot.renew.timer“. Wenn der Timer läuft, ist kein separater Cron-Job erforderlich. Falls Sie ihn nicht finden, können Sie ihn durch einen Cron-Job ersetzen:

17 3,15 * * * /usr/bin/certbot renew --quiet

Manuelle Verlängerung

sudo certbot renew

Der Befehl erneuert nur diejenigen Zertifikate, deren Ablaufdatum kurz bevorsteht (bei einem 90-Tage-Zertifikat in der Regel 30 Tage vor Ablauf). Die sofortige Verlängerung eines bestimmten Zertifikats können Sie mit den Schaltern „--cert-name pelda.hu --force-renewal“ anfordern; verwenden Sie diese Option jedoch nur in begründeten Fällen, da Let’s Encrypt die Anzahl der Zertifikatsanfragen für dieselbe Domain begrenzt.

Neustart des Webservers

Das erneuerte Zertifikat wird vom Webserver erst nach einem Neustart verwendet. Bei Zertifikaten, die mit den Apache- und Nginx-Plugins beantragt wurden, übernimmt Certbot diesen Vorgang; in anderen Fällen (beispielsweise im Modus „--standalone“ oder „--webroot“) geben Sie bitte einen Deploy-Hook an:

sudo certbot renew --deploy-hook "systemctl reload nginx"

Dies wird von Certbot gespeichert, sodass der Vorgang auch bei der nächsten automatischen Verlängerung ausgeführt wird.

Falls die Verlängerung fehlschlägt

Probieren Sie die Verlängerung zunächst ohne verbindliche Bestellung aus:

sudo certbot renew --dry-run

Die häufigsten Ursachen:

• Die Subdomain verweist nicht mehr auf diesen Server, oder für die Subdomain „www“ existiert kein DNS-Eintrag.
• Die Firewall blockiert Port 80; für die HTTP-01-Validierung muss dieser Port jedoch geöffnet sein.
• Eine Weiterleitung oder die Datei „.htaccess“ macht den Ordner „/.well-known/acme-challenge/“ unzugänglich.
• Ein CAA-Eintrag verhindert die Ausstellung eines Zertifikats durch Let’s Encrypt.

Die Details des Fehlers sind in der Protokolldatei „/var/log/letsencrypt/letsencrypt.log“ enthalten.

Benachrichtigung über den Ablauf

Seit dem 4. Juni 2025 versendet Let’s Encrypt keine E-Mails zur Benachrichtigung über das Ablaufdatum mehr. Sollte die Verlängerung daher unbemerkt fehlschlagen, wird dies erst zum Zeitpunkt des Ablaufs bemerkt. Es empfiehlt sich, einen externen Überwachungsdienst oder ein eigenes Überprüfungsskript einzurichten; Anweisungen hierzu finden Sie im Artikel zur Überprüfung des Ablaufdatums von SSL-Zertifikaten.