Let's Encrypt dropper til 64 dage: Det skal du vide før 2027

Tiden løber: Kortere SSL-certifikatvarighed er på vej

Let's Encrypt har lige afsløret en stor nyhed, som alle udviklere, systemadministratorer og DevOps-folk bør lægge mærke til. Fra 10. februar 2027 vil dette populære certificate authority udstede certifikater med en standardvarighed på 64 dage – ned fra de velkendte 90 dage, vi har været vant til.

Men det her er faktisk ingen overraskelse. Let's Encrypt har signaleret denne retning i et stykke tid, og hvis du har fulgt med i den bredere sikkerhedsdebat, har kortere certifikatlevetider været under opsejling i et stykke tid. Formålet er at reducere risiko: jo kortere et certifikat lever, desto mindre tid har en kompromitteret nøgle eller fejludstedt certifikat til at forvolde skade.

Hvad ændrer sig præcis 10. februar 2027?

Lad os se på tidslinjen:

• 10. februar 2027: Alle nye og fornyede certifikater får en gyldighedsperiode på 64 dage
• 11. maj 2027: Det sidste 90-dages certifikat (udstedt lige før fristen) udløber endelig
• 2028: Forvent endnu en reduktion til 45 dage
• 2029: Autorisationsgenbrugsperioder falder drastisk til syv timer

Den gode nyhed? Let's Encrypt åbner for skiftet i deres staging-miljø allerede 14. oktober 2026, så du får en ordentlig vindue til at teste, før produktionsændringerne rammer. Vi anbefaler kraftigt, at du udnytter den mulighed.

Er din certificathåndtering klar?

Her bliver det interessant for jer derude. Lad os se på, hvad du skal tjekke:

Hvis du bruger ARI-kompatible klienter

Hvis din automatiske fornyelse bygger på en ACME-klient, der understøtter ACME Renewal Info (ARI), er du måske okay. ARI gør det muligt for Let's Encrypt at kommunikere direkte med din klient om optimal fornyelsestidspunkt. Det er en smartere, mere dynamisk tilgang til certificathåndtering, der ikke er afhængig af faste skemaer.

Men – og det her er vigtigt – gå ikke ud fra, at du er sikker. Tjek din klients dokumentation grundigt for at bekræfte, at ARI faktisk er implementeret og fungerer. Antagelser er where outages are born.

Hvis du har hardkodet fornyelsesdatoer

Det er her, mange af os bliver fanget. Hvis din fornyelseslogik ser ud som "forny 30 dage før udløb" eller "forny hver 90. dag", er det tid til at opdatere din tilgang.

Let's Encrypt anbefaler fornyelse ved cirka to tredjedele af certifikatets levetid. For 64-dages certifikater betyder det omkring 42-43 dage. Her er et pro tip: matematikken bliver lettere, hvis du sætter dine fornyelser til at køre omkring 80 dage for 90-dages certifikater i dag – så slipper du for panik, når skiftet sker.

Søg gennem dine cron jobs, wrapper scripts og runbooks efter tal som 83, 80, 60 eller 30. Det er tydelige tegn på hardkodet fornyelseslogik, der trænger til opdatering.

Autorisationsgenbrug: Den snigende ændring du måske overser

Der er en anden ændring gemt i nyheden, der fortjener opmærksomhed: autorisationsgenbrugsperioden falder fra 30 dage til kun 10 dage.

For de fleste brugere kræver det ingen ændringer. Autorisationsgenbrug er en optimering, der lader din ACME-klient springe over revalidering af domænekontrol over, hvis du allerede har gjort det for nylig. Medmindre du specifikt har bygget din infrastruktur omkring denne adfærd, kan du sikkert ignorere dette punkt.

Dog laver Let's Encrypt denne ændring for at fjerne behovet for "CAA-genkontrol" – en proces hvor validering skal gentages, hvis de originale valideringsdata er ældre end 7 timer. Fra 2029 vil maksimale valideringsgenbrugsperioder falde til kun syv timer, så her lægges grundstenene.

Det her er dit tegn til at løfte din certificathåndtering

Her er vores synspunkt: denne ændring er faktisk en gave. Ikke fordi kortere levetider er bekvemme (det er de ikke, per definition), men fordi de tvinger os til at stoppe med at behandle certificathåndtering som en "sæt og glem"-opgave.

Hvis du stadig SSH'er ind på servere hver 89. dag for manuelt at forny certifikater, leger du med ilden. Certifikater udløber på de værst tænkelige tidspunkter – fredag eftermiddage, ferieweekender, midt om natten under en incident. Automation fjerner den hele klasse af problemer.

Mens du er i gang, så overvej at tilføje:

• Alarmering ved fornyelsesfejl: Bliv notificeret før et certifikat udløber, ikke efter
• Automatiseret udrulning: Kæd certifikatfornyelse direkte til din service reload-proces
• Health checks: Overvåg certifikatudløbsdatoer på tværs af hele din infrastruktur

Konklusionen

Let's Encrypt ændrer ikke noget ved rate limits, ACME-endpoints eller udstedelses-kæder. Det her er udelukkende en justering af levetiden med sikkerhedsmæssige fordele, der stemmer overens med branchens generelle push mod kortere certifikatgyldighedsperioder.

Overgangen bør være gnidningsløs for alle, der allerede kører automatiserede fornyelsesworkflows. For resten af os? Tag det her som jeres venlige (eller mindre venlige) skub til endelig at implementere ordentlig certifikatautomation.

Staging-miljøet åbner i oktober 2026. Det er dit testmiljø. Brug det.

Spørgsmål om SSL, certifikatautomation eller forberedelse af din infrastruktur til disse ændringer? Vores team hjælper gerne med at gennemgå din nuværende opsætning og sikre, at du er klar til overgangen.

Stay secure derude. Dine brugere (og din on-call rotation) vil takke dig.