Néhány éve még természetes volt, hogy egy SSL tanúsítványt egyszer megvásárolunk, feltelepítünk, és egy évig nem kell vele foglalkozni. Ez az időszak véget ért: 2026. március 15. óta egy tanúsítvány legfeljebb 200 napig lehet érvényes, és ez a határ a következő években tovább csökken, 2029-től 47 napra.
Ki dönt a tanúsítványok érvényességéről?
A tanúsítványokra vonatkozó szabályokat a CA/Browser Forum határozza meg. Ez a tanúsítványkiadók (CA-k) és a böngészőgyártók (Apple, Google, Microsoft, Mozilla) közös szervezete. Az általa elfogadott alapkövetelményeket (Baseline Requirements) minden tanúsítványkiadónak be kell tartania, különben a böngészők nem fogadják el a tanúsítványait.
A maximális érvényességi idő az elmúlt években fokozatosan csökkent:
| Időszak | Maximális érvényesség |
|---|---|
| 2018. március 1-től | 825 nap (kb. 27 hónap) |
| 2020. szeptember 1-től | 398 nap (kb. 13 hónap) |
| 2026. március 15-től | 200 nap |
| 2027. március 15-től | 100 nap |
| 2029. március 15-től | 47 nap |
A 398 napos korlátot még az Apple vezette be: a Safari és az Apple rendszerei 2020. szeptember 1-től nem fogadták el a hosszabb érvényességű tanúsítványokat, és a többi szereplő is ehhez igazodott. A további csökkentésről a CA/Browser Forum 2025 áprilisában szavazott (SC-081 számú javaslat). A javaslatot a tanúsítványkiadók ellenszavazat nélkül, a négy nagy böngészőgyártó pedig egyhangúlag támogatta.
Rövidül az ellenőrzés érvényessége is
A tanúsítvány kiadása előtt a kiadó ellenőrzi, hogy a kérelmező valóban rendelkezik-e a domain felett. Ezt az ellenőrzést (domain validation) eddig 398 napig újra fel lehetett használni, vagyis egy évig nem kellett megismételni. Ez az idő is rövidül: 2026-tól 200, 2027-től 100, 2029-től pedig mindössze 10 nap. A gyakorlatban így 2029-től szinte minden tanúsítvány kiadásakor újra igazolni kell a domain feletti rendelkezést.
A szervezeti adatok (cégnév, cím) ellenőrzése, amely a szervezet által hitelesített (OV) és a kiterjesztett hitelesítésű (EV) tanúsítványokhoz szükséges, 2026-tól 398 napig marad érvényes, ezt tehát évente elég megismételni.
Miért jó ez?
Első ránézésre a rövidebb érvényesség csak több munkát jelent. A döntés mögött azonban komoly biztonsági okok állnak:
- A visszavonás nem működik megbízhatóan. Ha egy tanúsítvány titkos kulcsa illetéktelen kézbe kerül, a tanúsítványt vissza lehet vonni, de a böngészők a visszavonási listákat gyakran nem vagy csak késve ellenőrzik. Egy ellopott kulccsal így akár a tanúsítvány lejártáig vissza lehet élni. Minél rövidebb az érvényesség, annál rövidebb ez az időablak.
- A domainek gazdát cserélnek. Ha egy domain lejár és másé lesz, az előző tulajdonos tanúsítványa még hónapokig érvényes maradhat. A rövidebb érvényesség és a gyakoribb ellenőrzés miatt a tanúsítvány hamarabb a valódi tulajdonoshoz kerül.
- Gyorsabban lehet váltani. Ha egy titkosítási eljárásról kiderül, hogy már nem biztonságos (vagy a kvantumszámítógépek miatt új algoritmusokra kell áttérni), a rövid élettartamú tanúsítványok néhány hét alatt lecserélődnek, nem évek alatt.
- Kikényszeríti az automatizálást. A kézzel telepített tanúsítványok rendszeresen elfelejtődnek, és lejárt tanúsítvány miatti leállást okoznak. Ha a tanúsítványt úgyis gyakran cserélni kell, mindenki automatizál, és a lejárat okozta hibák megszűnnek.
És a Let’s Encrypt 90 napos tanúsítványai?
A Let’s Encrypt ingyenes tanúsítványai kezdettől fogva 90 napig érvényesek, és mindig automatikus megújításra épültek. Sokáig ez volt a „rövid” tanúsítvány, és a Google is a 90 napos maximumot javasolta az egész iparágnak. A végül elfogadott szabály ennél is tovább megy, és a Let’s Encrypt is tovább rövidíti a tanúsítványait:
| Időpont | Let’s Encrypt alapértelmezett érvényesség |
|---|---|
| jelenleg | 90 nap |
| 2027. február 10-től | 64 nap |
| 2028. február 16-tól | 45 nap |
Aki szeretné, már most kérhet 45 napos, sőt 6 napos tanúsítványt is a Let’s Encrypttől.
A Let’s Encrypt azt is kéri, hogy a megújítás ne fix időközönként (például 60 naponta) történjen, mert ez a 64 és 45 napos tanúsítványoknál már túl késő lenne. A megújítás a tanúsítvány élettartamának nagyjából kétharmadánál induljon, vagy ha a megújító program támogatja, az ACME Renewal Information (ARI) alapján, amikor a kiadó jelzi, hogy ideje megújítani.
Mit jelent ez Önnek?
Ha az aWh tárhelyén ingyenes tanúsítványt használ
Nincs teendője. Tárhelyeinken a tanúsítványokat a rendszer automatikusan igényli és újítja meg minden olyan domainre, amely a mi névszervereinkre mutat (lásd: Ingyenes Let’s Encrypt tanúsítvány bekapcsolása webtárhelyen). A rövidebb érvényesség csak annyit jelent, hogy a háttérben gyakrabban történik meg a csere.
Arra figyeljen, hogy ha a domain DNS-ét máshol kezeli, vagy egy proxy (például a Cloudflare) van a tárhely előtt, a domain feletti rendelkezés ellenőrzése akkor is sikeres legyen. Ha a megújítás nem sikerül, a gyakoribb megújítás miatt ez hamarabb kiderül, de hamarabb is jár le a tanúsítvány.
Ha fizetős tanúsítványt használ
A fizetős tanúsítványt továbbra is megvásárolhatja egy- vagy többéves időszakra, de a tanúsítványt az időszak alatt többször újra ki kell állítani és telepíteni: 2026-tól évente legalább kétszer, 2027-től negyedévente, 2029-től nagyjából hathetente. Az előfizetés lejártáig ezek az újrakiállítások díjmentesek, a domain feletti rendelkezést viszont minden alkalommal igazolni kell (lásd: A domain-validáció módjai).
Ha a domain a nálunk lévő cPanel tárhelyén van, a tanúsítványt az Ügyfélportálon állítsa be Autoinstall (via cPanel) módban: ilyenkor a validáció, a telepítés és az újrakiállítás is automatikus. Más szerverre telepített tanúsítványnál az újrakiállítást Önnek kell elvégeznie, erre e-mailben emlékeztetjük. Mindkét esetet a Fizetős SSL tanúsítvány beállítása és újrakiállítása cikk írja le.
Ha nincs szüksége OV vagy EV tanúsítványra, érdemes megfontolni az automatikusan megújuló ingyenes tanúsítványt, lásd: Let’s Encrypt vagy fizetős SSL: melyiket válasszam?
Ha saját szervert üzemeltet
A kézi tanúsítványcsere 2029-re gyakorlatilag fenntarthatatlan lesz, ezért érdemes most automatizálni:
- Használjon ACME-klienst (például Certbotot vagy acme.sh-t), lásd: Let’s Encrypt tanúsítvány igénylése Certbottal és Wildcard Let’s Encrypt tanúsítvány DNS-validációval.
- Ellenőrizze, hogy a megújítás nincs-e fix időközhöz (például 60 naphoz) kötve. Ha igen, állítsa át az élettartam kétharmadára, vagy használjon ARI-t támogató klienst.
- Gondoljon azokra az eszközökre is, ahová a tanúsítványt kézzel szokta feltölteni: levelezőszerverekre, terheléselosztókra, routerekre, nyomtatókra, belső alkalmazásokra.
- Állítson be figyelést a tanúsítványok lejáratára, lásd: Hogyan ellenőrizhetem, mikor jár le az SSL tanúsítványom?
Mi lesz a már kiadott tanúsítványokkal?
A változások csak az új tanúsítványokat érintik. Egy korábban kiadott tanúsítvány a lejáratáig érvényes marad, akkor is, ha az érvényessége hosszabb az új szabálynál. A következő megújításnál azonban már az új, rövidebb időtartam vonatkozik rá.