Kortere gyldighetstid for Let's Encrypt-sertifikater: hva betyr det for deg?

Let's Encrypt er den gratis utstederen av sertifikater som de fleste nettsteder bruker, også hos WebOké. Et sertifikat fra Let's Encrypt er nå gyldig i 90 dager. Dette blir kortere, og Let's Encrypt sender allerede ikke lenger påminnelser på e-post når et sertifikat snart utløper. Her leser du hva som endres og hva du må gjøre.

Dette endres

En vellykket kontroll av domenenavnet ditt huskes også kortere: fra februar 2027 i ti dager, fra februar 2028 bare i sju timer. Dette merker du særlig hvis du bestiller et sertifikat manuelt via en DNS-post: Da må du gjenta det trinnet oftere.

Let's Encrypt følger med dette reglene fra CA/Browser Forum, som gjelder for alle utstedere. Et sertifikat med kortere gyldighet begrenser skaden hvis noe går galt, for eksempel en lekket nøkkel. Konsekvensen for deg: Manuell fornyelse er ikke lenger et alternativ. Det må skje automatisk, og du må selv følge med på at det fungerer.

På webhotellet ditt: ingenting å gjøre

På et webhotell bestiller DirectAdmin sertifikatet og fornyer det automatisk. Du trenger ikke endre noe for dette. Domenet ditt må likevel fortsatt peke til serveren vår, fordi Let's Encrypt kontrollerer dette på nytt ved fornyelse. Se Aktivere og fornye SSL-sertifikat og løse problemer.

Hvor lenge sertifikatet ditt er gyldig, ser du med Domenehelse. Utløper det innen 14 dager, melder verktøyet at fornyelsen henger etter. Sjekk da i DirectAdmin under SSL Certificates om det står mislykkede kontroller der.

Bruker du et sertifikat også utenfor webhotellet, for eksempel fordi du kopierer det manuelt til en annen enhet eller tjeneste? Da må du snart gjøre det med noen ukers mellomrom. La heller den enheten eller tjenesten bestille et sertifikat selv.

På en VPS: ordne og kontrollere selv

På en VPS ordner du fornyelsen selv, med certbot, Caddy eller ACME-klienten i programvaren din. Se nginx med et sertifikat fra Let's Encrypt og Caddy: et nettsted med automatisk https. Sjekk dette med certbot:

1. Sjekk at timeren for fornyelse finnes og kjører:

   systemctl list-timers 'certbot*'

2. Gjør en testfornyelse. Den bestiller ikke et ekte sertifikat:

   sudo certbot renew --dry-run

   Slutter den med en melding om at alle simuleringer lyktes, fungerer fornyelsen.
3. Laster webserveren din også inn det nye sertifikatet? Med programtillegget for nginx ordner certbot dette selv. Bruker du certbot certonly, legger du inn en deploy hook som laster webserveren din inn på nytt.
4. Hold ACME-klienten din oppdatert via pakkekilden. Let's Encrypt anbefaler ARI (ACME Renewal Information): Med den forteller Let's Encrypt selv når et sertifikat må fornyes.

Har du laget et eget skript eller en cron-linje som for eksempel fornyer hver 60. dag? Det går galt så snart sertifikatene får kortere gyldighet. La klienten selv avgjøre når det er på tide, og la den sjekke minst én gang om dagen.

VPS-en og alt som kjører på den, administrerer du selv. Vi hjelper med WebOké-delen: panelet, nettverket og snapshots.

Overvåk utløpsdatoen

Siden det ikke lenger kommer påminnelser på e-post, anbefaler Let's Encrypt selv å overvåke at fornyelsen lykkes. En overvåkingstjeneste som leser utløpsdatoen til sertifikatet ditt og varsler når det er mindre enn 14 dager igjen, fanger opp en fornyelse som har mislyktes i stillhet, i tide. Se Overvåk nettstedet ditt: tilgjengelighet, sertifikat og domene.

Les mer

• Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, engelsk)
• Expiration Notification Service Has Ended (Let's Encrypt, engelsk)

Vil du lære mer? Ta det gratis kurset VPS og Linux-serveradministrasjon, leksjon 7.3 https med Let's Encrypt.