Certifikatens giltighetstid kortas till 47 dagar
Publika TLS-certifikat som utfärdas från och med 15-03-2029 får gälla i högst 47 dagar, och en domänvalidering (DCV) får bara återanvändas i 10 dagar. CA/Browser Forum beslutade detta i SC-081v3, och det gäller alla publikt betrodda certifikatutfärdare.
Tidslinje för kortare giltighetstider
15-03-2026
Certifikatens maximala giltighetstid kortas till 200 dagar. DCV får återanvändas i 200 dagar.
DigiCert inför gränsen redan 24-02-2026 med 199 dagar. Sectigo och GlobalSign följer efter i mars.
15-03-2027
Certifikatens maximala giltighetstid kortas till 100 dagar. DCV får återanvändas i 100 dagar.
I praktiken bör ni förnya ungefär var 85:e dag för att ha en säkerhetsmarginal.
15-03-2029
Certifikatens maximala giltighetstid kortas till 47 dagar. DCV får återanvändas i 10 dagar.
Det kräver förnyelse ungefär var 40:e dag och domänvalidering ungefär var 10:e dag.
Det finns ingen fas 2028. Giltighetstiden går från 100 dagar 2027 direkt till 47 dagar 2029.
Antalet förnyelser mångdubblas
Antalet certifikatförnyelser per år ökar kraftigt för varje fas. Uppskattningarna nedan utgår från ett certifikat per server.
| Servrar | 2025 (398 dagar) | 2026 (200 dagar) | 2027 (100 dagar) | 2029 (47 dagar) |
|---|---|---|---|---|
| 10 | ~10/år | ~18/år | ~37/år | ~78/år |
| 50 | ~46/år | ~91/år | ~183/år | ~389/år |
| 200 | ~184/år | ~365/år | ~730/år | ~1 554/år |
Därför räcker manuella processer inte till
Cron-jobb och skript
Ett certbot-skript på en enskild server fungerar bra. Men 200 servrar med olika plattformar, nyckeltyper och CA-krav behöver styras centralt. Ett skript som har slutat fungera upptäcks oftast först när certifikatet går ut.
Beroende av nyckelpersoner
När förnyelsen hänger på en person blir semester, sjukdom eller ett jobbyte en risk. Med certifikat som gäller i 47 dagar finns ingen marginal. En missad förnyelse ger driftstopp inom några veckor.
Ingen central övervakning
Utan central övervakning märks problemen först när användarna rapporterar fel, och med kortare giltighetstider händer det oftare. En översikt över alla certifikat i hela infrastrukturen är inte längre bara önskvärd. Den är ett krav.
Nätverksutrustning är svårast
Webbservrar med certbot eller andra ACME-klienter klarar sig ofta bra. Det är i nätverksutrustningen som automatiseringen brister.
FortiGate, F5, NetScaler, Palo Alto
De här enheterna saknar oftast inbyggt ACME-stöd. Förnyelse kräver API-anrop eller åtkomst via kommandoraden, ofta med leverantörsspecifika format och begränsningar. Varje leverantör gör på sitt eget sätt.
Exchange, IIS, ADFS
På Windows-servrar med Exchange eller IIS installeras certifikatet med PowerShell eller MMC och kopplas sedan till tjänsten med en bindning. Det går att automatisera, men kräver en agent som körs lokalt med rätt behörigheter.
Blandade miljöer
De flesta organisationer kör en blandning av Linux, Windows, nätverksutrustning och molntjänster. En lösning som bara täcker en plattform flyttar bara problemet någon annanstans.
Så hanterar sslbrain det
Central schemaläggare
sslbrain har en central schemaläggare som förnyar certifikaten automatiskt innan de går ut. Ni konfigurerar varje certifikat en gång. Schemaläggaren anpassar sig automatiskt till den giltighetstid som gäller, oavsett om det är 200, 100 eller 47 dagar.
En väg till alla CA:er
sslbrain Cloud beställer certifikat från DigiCert åt er, och Sectigo, GlobalSign och andra ACME-CA:er kan ni använda med ert eget ACME-konto. Certifikatprofilen avgör vilken CA som används. Byter ni CA ändras ingenting på era servrar.
Agenter för alla plattformar
sslbrain installerar certifikat på servrar via serviceagenten och på nätverksutrustning via API eller SSH. Certifikaten installeras automatiskt på rätt plattform i rätt format.
Övervakning och larm
Alla certifikat övervakas centralt. Ni ser status för varje certifikat i hela infrastrukturen i en och samma översikt. Vid fel skickas larm, så att ni inte får veta om problemen genom klagomål från användarna.
Konfigurera nu, var redo för 2029
Konfigurera era certifikat en gång. När giltighetstiden kortas till 100 dagar och sedan till 47 dagar anpassar sslbrain automatiskt hur ofta certifikaten förnyas. Er konfiguration ändras inte.
Konfigurationen är densamma oavsett om certifikaten gäller i 200 eller 47 dagar. Skillnaden är bara att sslbrain förnyar dem oftare.