A Let’s Encrypt tanúsítványok 90 napig érvényesek, és az érvényesség a következő években tovább rövidül: a 2026 májusa óta választható tlsserver profil már 45 napos tanúsítványt ad, és a Let’s Encrypt bejelentése szerint az alapértelmezett profil 2027 februárjától 64, 2028 februárjától 45 napos lesz. A megújítást ezért mindenképp automatizálni kell, a kézi parancsra csak ellenőrzéshez és hibaelhárításhoz van szükség.

Tárhelyen nincs teendője

cPanel tárhelyen és webtárhelyen az ingyenes tanúsítványokat a rendszer automatikusan megújítja; erről a Let’s Encrypt ingyenes tanúsítványokról szóló cikk ír. Az alábbiak saját üzemeltetésű VPS vagy dedikált szerver esetén érvényesek, ahol a tanúsítványt a Certbot igényelte; az igénylést a Certbottal való tanúsítványigénylésről szóló cikk mutatja be.

A tanúsítványok állapota

sudo certbot certificates

A parancs minden tanúsítványnál kiírja a domaineket, a lejárati időpontot (Expiry Date) és a fájlok helyét.

Fut-e az automatikus megújítás?

A Certbot a telepítéskor beállít egy időzítőt, amely naponta kétszer ellenőrzi a tanúsítványokat:

systemctl list-timers | grep -i certbot

Csomagból telepített Certbotnál ez a certbot.timer, snap-es telepítésnél a snap.certbot.renew.timer. Ha az időzítő fut, külön cron jobra nincs szükség. Ha nem találja, egy cron jobbal pótolhatja:

17 3,15 * * * /usr/bin/certbot renew --quiet

Kézi megújítás

sudo certbot renew

A parancs csak azokat a tanúsítványokat újítja meg, amelyek a lejárathoz közel vannak (90 napos tanúsítványnál jellemzően 30 nappal a lejárat előtt). Egy adott tanúsítvány azonnali megújítását a --cert-name pelda.hu --force-renewal kapcsolókkal kérheti, de ezt csak indokolt esetben használja, mert a Let’s Encrypt korlátozza, hányszor kérhető ugyanarra a domainre tanúsítvány.

A webszerver újratöltése

A megújított tanúsítványt a webszerver csak újratöltés után használja. Az Apache- és Nginx-bővítménnyel igényelt tanúsítványoknál ezt a Certbot elvégzi; más esetben (például --standalone vagy --webroot módban) adjon meg egy deploy hookot:

sudo certbot renew --deploy-hook "systemctl reload nginx"

Ezt a Certbot megjegyzi, így a következő automatikus megújításnál is lefut.

Ha a megújítás sikertelen

Először próbálja ki a megújítást valódi igénylés nélkül:

sudo certbot renew --dry-run

A leggyakoribb okok:

• A domain már nem erre a szerverre mutat, vagy a www aldomainnek nincs DNS-rekordja.
• A tűzfal tiltja a 80-as portot; a HTTP-01 validációhoz ennek nyitva kell lennie.
• Egy átirányítás vagy a .htaccess elérhetetlenné teszi a /.well-known/acme-challenge/ mappát.
• Egy CAA rekord nem engedi a Let’s Encrypt számára a kiállítást.

A hiba részleteit a /var/log/letsencrypt/letsencrypt.log napló tartalmazza.

Lejárati értesítés

A Let’s Encrypt 2025. június 4. óta nem küld lejárati értesítő e-mailt, ezért ha a megújítás csendben elromlik, csak a lejáratkor derül ki. Érdemes egy külső figyelő szolgáltatást vagy egy saját ellenőrző szkriptet beállítani; ehhez az SSL tanúsítvány lejáratának ellenőrzéséről szóló cikk ad parancsokat.