Tiden renner ut: Kortere SSL-gyldighetsperioder er her

Let's Encrypt kunngjorde nylig noe som bør få alle utviklere, systemadministratorer og DevOps-folk til å spisse ørene. Fra 10. februar 2027 vil dette populære sertifikatorganet utstede sertifikater med en gyldighetsperiode på 64 dager som standard – ned fra de kjente 90 dagene vi har blitt vant til.

Men dette er ingen overraskelse. Let's Encrypt har signalisert denne retningen en stund nå, og hvis du har fulgt med på sikkerhetslandskapet for øvrig, har kortere sertifikatlevetider vært tydelig skrevet på veggen. Denne endringen handler om å redusere risiko: jo kortere et sertifikat lever, desto mindre tid har en kompromittert nøkkel eller feilutstedt sertifikat til å forårsake skade.

Hva endres egentlig 10. februar 2027?

La oss slå opp i kalenderen:

• 10. februar 2027: Alle nylig utstedte og fornyede sertifikater får en gyldighetsperiode på 64 dager
• 11. mai 2027: Det siste 90-dagers sertifikatet (utstedt rett før fristen) vil endelig gå ut
• 2028: Forvent nok en reduksjon til 45 dager
• 2029: Autorisasjonsgjenbruksperioder krympes dramatisk til syv timer

De gode nyhetene? Let's Encrypt slår på endringen i sitt staging-miljø allerede 14. oktober 2026, noe som gir deg en solid periode til testing før produksjonsendringene trer i kraft. Vi anbefaler på det sterkeste å benytte seg av dette.

Er sertifikatforvaltningen din klar?

Her blir det interessant for dere der ute. La oss snakke om hva dere bør sjekke:

Hvis du bruker ARI-kompatible klienter

Hvis den automatiserte fornyelsesoppsettet ditt er avhengig av en ACME-klient som støtter ACME Renewal Info (ARI), kan du være rimelig godt dekket. ARI lar Let's Encrypt kommunisere direkte med din klient om optimal fornyelsestiming. Det er i bunn og grunn en smartere, mer dynamisk tilnærming til sertifikatforvaltning som ikke er avhengig av forutbestemte tidsskjemaer.

Men – og dette er viktig – anta ikke at alt er i orden. Sjekk klientdokumentasjonen din for å bekrefte at ARI faktisk er implementert og fungerer. Antagelser er der hvor driftsforstyrrelser oppstår.

Hvis du har hardkodete fornyelsesdatoer

Her blir mange av oss tatt på senga. Hvis fornyelseslogikken din ser ut som "forny 30 dager før utløp" eller "forny hver 90. dag", må du oppdater tilnærmingen din.

Let's Encrypt anbefaler fornyelse ved omtrent to tredjedeler av sertifikatets levetid. For 64-dagers sertifikater er det rundt 42-43 dager. Men her er et profftips: matematikken blir enklere hvis du setter fornyelsene til å utløses rundt 80 dager for 90-dagers sertifikater allerede i dag – da slipper du å stresse når byttet skjer.

Søk gjennom cron-jobbene, wrapper-scriptene og runbookene dine etter tall som 83, 80, 60 eller 30. Det er tydelige tegn på hardkodet fornyelseslogikk som trenger oppmerksomhet.

Autorisasjonsgjenbruk: Den snikende endringen du kanskje går glipp av

Det er en annen endring gravd ned i kunngjøringen som fortjener oppmerksomhet: autorisasjonsgjenbruksperioden synker fra 30 dager til bare 10 dager.

For de fleste brukere vil dette ikke kreve noen endringer. Autorisasjonsgjenbruk er en optimalisering som lar ACME-klienten din hoppe over ny validering av domenekontroll hvis du allerede har gjort det nylig. Med mindre du spesifikt har bygget infrastrukturen din rundt denne oppførselen, kan du sannsynligvis se bort fra dette.

Men Let's Encrypt gjør denne endringen for å eliminere behovet for "CAA-sjekking" – en prosess der validering må gjentas hvis de opprinnelige valideringsdataene er eldre enn 7 timer. Fra og med 2029 vil maksimale valideringsgjenbruksperioder krympes til bare syv timer, så dette legger grunnlaget for den overgangen.

Dette er ditt tegn til å løfte sertifikatforvaltningen din

Her er vår betraktning: denne endringen er egentlig en gave. Ikke fordi kortere levetider er praktiske (det er de ikke, per definisjon), men fordi de tvinger oss til å slutte å behandle sertifikatforvaltning som en "sett den og glem den"-oppgave.

Hvis du fremdeles SSH-er inn på servere hver 89. dag for manuelt å fornye sertifikater, leker du med ilden. Sertifikater går ut på de verste tidspunktene – fredag ettermiddager, feriehelger, midt på natten under en hendelse. Automatisering fjerner denne typen problemer fullstendig.

Mens du først er i gang, vurder å legge til:

• Varsling ved fornyelsesfeil: Bli varslet før et sertifikat går ut, ikke etter
• Automatisert utrulling: Koble sertifikatfornyelse direkte til prosessen for omstart av tjenesten
• Helsesjekker: Overvåk sertifikatets utløpsdatoer på tvers av hele infrastrukturen

Konklusjonen

Let's Encrypt endrer ikke noe ved rate limits, ACME-endepunkter eller utstedelseskjeder. Dette er utelukkende en justering av levetid med sikkerhetsfordeler som er i tråd med bransjens generelle dreining mot kortere sertifikatgyldighetsperioder.

Overgangen bør være smertefri for alle som allerede kjører automatisert fornyelsesarbeidsflyt. For resten av oss? Tenk på dette som det milde (eller ikke så milde) dyttet du trengte for endelig å implementere skikkelig sertifikatautomatisering.

Staging-miljøet åpner i oktober 2026. Det er ditt testområde. Bruk det.

Spørsmål om SSL, sertifikatautomatisering eller hvordan du forbereder infrastrukturen din på disse endringene? Teamet vårt hjelper deg gjerne med å granske ditt nåværende oppsett og sikre at du er klar for overgangen.

Hold deg sikker der ute. Brukerne dine (og påtroppende vaktordning) vil sette pris på det.