Kortere gyldighedsperioder for Let's Encrypt-certifikater: hvad betyder det for dig?

Let's Encrypt er den gratis udsteder af certifikater, som de fleste hjemmesider bruger, også hos WebOké. Et certifikat fra Let's Encrypt er i dag gyldigt i 90 dage. Det bliver kortere, og Let's Encrypt sender allerede ikke længere påmindelsesmails, når et certifikat er ved at udløbe. Her kan du læse, hvad der ændrer sig, og hvad du skal gøre.

Hvad ændrer sig

En godkendt kontrol af dit domænenavn huskes også kortere: fra februar 2027 i ti dage, fra februar 2028 kun i syv timer. Det mærker du især, hvis du bestiller et certifikat manuelt via en DNS-record: så skal du gentage det trin oftere.

Let's Encrypt følger hermed reglerne fra CA/Browser Forum, som gælder for alle udstedere. Et certifikat med kortere gyldighed begrænser skaden, hvis noget går galt, for eksempel en lækket nøgle. Konsekvensen for dig: manuel fornyelse er ikke længere en mulighed. Det skal ske automatisk, og du skal selv holde øje med, at det lykkes.

På din hostingpakke: intet at gøre

Med en hostingpakke bestiller DirectAdmin certifikatet og fornyer det automatisk. Du behøver ikke ændre noget. Dit domæne skal dog fortsat pege på vores server, for Let's Encrypt kontrollerer det igen ved fornyelsen. Se Aktivér og forny et SSL-certifikat, og løs problemer.

Hvor længe dit certifikat er gyldigt, kan du se med Domænesundhed. Udløber det inden for 14 dage, melder den, at fornyelsen halter bagefter. Se så i DirectAdmin under SSL Certificates, om der er mislykkede kontroller.

Bruger du også et certifikat uden for din pakke, for eksempel fordi du kopierer det manuelt til en anden enhed eller tjeneste? Så skal du snart gøre det med få ugers mellemrum. Lad hellere den enhed eller tjeneste selv bestille et certifikat.

På en VPS: styr og kontrollér det selv

På en VPS står du selv for fornyelsen, med certbot, Caddy eller ACME-klienten i din software. Se nginx med et certifikat fra Let's Encrypt og Caddy: en hjemmeside med automatisk https. Med certbot gennemgår du følgende:

1. Tjek, at timeren til fornyelse findes og kører:

   systemctl list-timers 'certbot*'

2. Lav en prøvefornyelse. Den bestiller ikke et rigtigt certifikat:

   sudo certbot renew --dry-run

   Slutter den med en besked om, at alle simuleringer er lykkedes, så virker fornyelsen.
3. Indlæser din webserver også det nye certifikat? Med plug-in'et til nginx klarer certbot det selv. Bruger du certbot certonly, så opret en deploy hook, der genindlæser din webserver.
4. Hold din ACME-klient opdateret via pakkekilden. Let's Encrypt anbefaler ARI (ACME Renewal Information): med det fortæller Let's Encrypt selv, hvornår et certifikat skal fornyes.

Har du lavet dit eget script eller en cron-linje, der for eksempel fornyer hver 60. dag? Det går galt, så snart certifikaterne har kortere gyldighed. Lad klienten selv afgøre, hvornår det er tid, og lad den tjekke mindst én gang om dagen.

Din VPS og alt, hvad der kører på den, administrerer du selv. Vi hjælper med WebOké-delen: panelet, netværket og snapshots.

Overvåg udløbsdatoen

Da der ikke længere kommer påmindelsesmails, anbefaler Let's Encrypt selv, at du overvåger, om fornyelsen lykkes. En overvågningstjeneste, der læser udløbsdatoen på dit certifikat og advarer ved under 14 dage, fanger en fornyelse, der er mislykkedes i stilhed, i tide. Se Få din hjemmeside overvåget: tilgængelighed, certifikat og domæne.

Læs mere

• Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, på engelsk)
• Expiration Notification Service Has Ended (Let's Encrypt, på engelsk)

Vil du lære mere? Tag det gratis kursus VPS og Linux-serveradministration, lektion 7.3 https med Let's Encrypt.