Długie certyfikaty SSL – dlaczego prawie nikt z nich nie korzysta

Większość osób zajmujących się serwerami przywykła do tego, że certyfikaty SSL trzeba odnawiać co 90 dni. To stała pozycja w kalendarzu, którą po prostu odhaczamy.

Tymczasem istnieje opcja wydania certyfikatu ważnego przez 15 lat. Technicznie da się to zrobić. Niektóre urzędy certyfikacji, zwłaszcza w ekosystemie Cloudflare, oferują taką możliwość. A jednak prawie nikt nie korzysta z długich terminów ważności. Dlaczego?

Skąd się wzięła zasada 90 dni

Jeszcze kilka lat temu certyfikaty wydawano nawet na trzy lata. Potem branża zaczęła skracać ten okres. Powody były konkretne.

Krótszy termin ważności oznacza mniejsze ryzyko. Gdy klucz prywatny urzędu zostanie skompromitowany, certyfikaty tracą ważność szybciej. Łatwiej też rotować klucze w infrastrukturze, gdy robisz to regularnie.

Pojawienie się Let's Encrypt zmieniło wszystko. Darmowe certyfikaty z automatycznym odnawianiem sprawiły, że długie okresy ważności przestały mieć sens ekonomiczny.

Automatyzacja to podstawa

Tu leży sedno sprawy. Jeśli Twój proces wdrażania nie obsługuje automatycznego odnawiania certyfikatów, to długi termin ważności niczego nie rozwiązuje. Masz po prostu większy problem.

DevOps zakłada, że certyfikaty to taki sam element infrastruktury jak reszta – powinny być tworzone, monitorowane i wymieniane bez udziału człowieka. Cykl 90-dniowy wymusza tę dyscyplinę.

Problem z kontrolą

Niektóre platformy potrafią same wybierać odpowiedni typ certyfikatu i metodę weryfikacji. Teoretycznie 15-letni certyfikat mógłby działać równie bezobsługowo jak zwykły.

W praktyce jednak deweloperzy wolą widzieć momenty rotacji. To punkt kontrolny – potwierdzenie, że automatyzacja działa. Długi okres bez żadnego ruchu przy certyfikacie oznacza martwe punkty w monitoringu.

Kiedy dłuższy termin ma sens

Są sytuacje, w których dłuższy certyfikat może się przydać:

• usługi wewnętrzne za Cloudflare, gdzie certyfikat nie jest wystawiony na świat
• środowiska testowe i deweloperskie
• urządzenia IoT z ograniczoną możliwością aktualizacji
• certyfikaty zapasowe na wypadek awarii

Co naprawdę się liczy

Nawet przy 15-letnim certyfikacie Twój system monitoringu powinien spodziewać się rotacji. Pipeline CI/CD powinien testować aktualizacje. Dokumentacja musi opisywać, jak certyfikaty są zarządzane.

Długi termin ważności nie rozwiązuje problemów operacyjnych – tylko je odkłada w czasie.

Co z tego wynika

Zamiast szukać certyfikatu na 15 lat, lepiej skupić się na solidnej automatyzacji. Kluczowe elementy to:

• niezawodne odnawianie bez udziału człowieka
• alerty, które działają zanim certyfikat wygaśnie
• testy procedur awaryjnych
• dokumentacja, którą zrozumie przyszłe „ja”

Automatyzacja daje spokój. Długi certyfikat – niekoniecznie.