Aikaa on vähän: SSL-varmenteiden elinkaaret lyhenevät

Let's Encrypt tiedotti juuri asiasta, joka koskettaa jokaista kehittäjää, sysadminia ja DevOps-osaajaa. Helmi-mauntain 10. päivästä 2027 alkaen tämä suosittu varmenteiden myöntäjä alkaa laskea oletuselinkaaren 64 päivään. Vielä hetki sitten totuttu 90 päivän rajoitus jää historiaan.

Tämä ei kuitenkaan tullut yllätyksenä. Let's Encrypt on viestittänyt suuntaa jo pidemmän aikaa, ja laajempi turvallisuuskenttä on kallistunut kohti lyhyempiä varmenteita. Lyhyempi elinkaari tarkoittaa pienempää riskiä: jos avain tai varmenne joutuu vääriin käsiin, haittaa ehtii syntyä vähemmän.

Mitä muuttuu helmikuussa 2027?

Katsotaan aikajanaa:

• 10.2.2027: Kaikki uudet ja uusitut varmenteet ovat voimassa 64 päivää
• 11.5.2027: Viimeiset 90-päiväiset varmenteet vanhenevat
• 2028: Elinkaari tippuu todennäköisesti 45 päivään
• 2029: Valtuuksien uudelleenkäyttöaika lyhenee seitsemään tuntiin

Hyvä uutinen: Let's Encrypt avaa staging-ympäristön lokakuussa 2026. Siihen asti kannattaa testata kuntoon kaikki automaatio.

Onko varmennehallintasi valmis?

Tässä kohtaa jokaisen kannattaa pysähtyä hetkeksi.

Jos käytät ARI-yhteensopivaa asiakasta

ACME-asiakkaat, jotka tukevat ACME Renewal Info -protokollaa, saattavat selvitä muutoksesta vähällä vaivalla. ARI mahdollistaa suoran kommunikaation varmenteiden uusimisajankohdista Let's Encryptin ja asiakkaan välillä. Se on joustavampi lähestymistapa kuin jäykät aikataulut.

Mutta varovaisuus on paikallaan. Älä oleta, että kaikki toimii automaattisesti. Tarkista dokumentaatio ja varmista, että ARI on todella käytössä. Oletukset ovat niitä kohtia, joissa ongelmat syntyvät.

Jos sinulla on kovakoodattuja päivämääriä

Tässä moni meistä sortuu. Jos uusimislogiikkasi menee vaikkapa näin – "uusi 30 päivää ennen vanhenemista" tai "uusi 90 päivän välein" – on aika päivittää ajattelua.

Let's Encrypt suosittelee uusimista noin kaksi kolmasosaa elinkaaren aikana. 64 päivän varmenteelle se tarkoittaa reilua 40 päivää. Käytännön vinkki: laskenta helpottuu, jos vaihdat 90 päivän varmenteet uusimaan 80 päivän välein jo nyt. Siirtymä sujuu sutjakkaammin.

Käy läpi cron-jobit, wrapper-skriptit ja dokumentaatio. Etsi lukuja 83, 80, 60 tai 30. Ne kertovat kovakoodatusta logiikasta, joka kaipaa huomiota.

Valtuuksien uudelleenkäyttö: muutos, jonka moni ohittaa

Toinen tiedotteessa piilossa oleva muutos koskee authorization reuse -periodia. Se tippuu 30 päivästä kymmeneen.

Useimmille tämä ei vaadi toimenpiteitä. Kyse on optimoinnista, joka mahdollistaa domain-validoinnin ohituksen, jos se on tehty äskettäin. Ellet ole rakentanut infrastruktuuria nimenomaan tämän varaan, voit sivuuttaa asian.

Miksi muutos sitten tehdään? Se poistaa tarpeen CAA-rekisteröinnille. Vuodesta 2029 alkaen validointi vanhenee seitsemässä tunnissa, joten tämä on pohjustusta sille.

Nyt on oikea hetki kohottaa varmennehallinta

Oma näkemykseni: tämä muutos on lahja. Ei siksi, että lyhyet elinkaaret olisivat käteviä – eivät ne ole – vaan koska ne pakottavat meidät lopettamaan "kerran säädän ja unohdan" -meiningin.

Jos yhä SSH-yhteys palvelimelle 89 päivän välein uusimaan varmenteita käsin, olet vaaravyöhykkeessä. Varmenteet vanhenevat aina huonoimmillaan: perjantai-iltapäivisin, pyhinä, yöllä häiriötilanteen keskellä. Automatio poistaa koko ongelmakategorian.

Samalla kannattaa harkita:

• Hälytykset epäonnistuneista uusimisista: Saat ilmoituksen ennen vanhenemista, ei sen jälkeen
• Automaattinen käyttöönotto: Yhdistä uusiminen suoraan palvelun uudelleenkäynnistykseen
• Kuntotarkistukset: Seuraa varmenteiden vanhenemispäiviä koko infrastruktuurissa

Yhteenveto

Let's Encrypt ei muuta rajoituksia, ACME-päätepisteitä tai myöntöketjuja. Kyse on vain elinkaaren muutoksesta, joka tukee laajempaa alan suuntausta kohti lyhyempiä varmenteita.

Automaattisella uusimisella varustetuille siirtymä hoituu huomaamatta. Meille muille tämä on signaali: nyt viimeinkin automatisoidaan kunnolla.

Staging-ympäristö avautuu lokakuussa 2026. Testaa siellä.

Kysymyksiä SSL:stä, varmenteiden automaatiosta tai infrastruktuurin valmistelusta? Autan mielelläni kartoittamaan nykytilanteen ja varmistamaan, että olet valmis muutoksiin.

Pidä hommat kunnossa. Sekä sinä että on-call-ryhmäsi kiittävät.