Certyfikaty SSL tylko na 47 dni – co to oznacza dla firmy

Co dokładnie się zmienia i kto o tym zdecydował

Zasady wydawania publicznych certyfikatów TLS ustala CA/Browser Forum, czyli organizacja zrzeszająca urzędy certyfikacji (CA) oraz twórców przeglądarek: Google, Apple, Mozillę i Microsoft. W kwietniu 2025 roku przyjęto tam uchwałę SC-081, która stopniowo skraca maksymalny okres ważności certyfikatów serwerowych z dotychczasowych 398 dni do 47 dni.

Zmiana nie dotyczy tylko samej daty wygaśnięcia. Skraca się też okres, przez jaki urząd certyfikacji może ponownie wykorzystać wcześniejszą weryfikację domeny (tzw. DCV reuse). W ostatnim etapie wyniesie on zaledwie 10 dni. W praktyce oznacza to, że przy niemal każdym odnowieniu trzeba będzie ponownie potwierdzić kontrolę nad domeną, np. rekordem DNS albo plikiem na serwerze.

Pierwszy etap wszedł w życie 15 marca 2026 roku. Od tego dnia nowo wystawiane certyfikaty mają ważność maksymalnie 200 dni. Jeśli Twoja firma kupiła w tym roku certyfikat roczny, prawdopodobnie już zauważyła, że jest on ważny krócej niż wcześniej.

Dlaczego przeglądarki chcą krótszych certyfikatów

Na pierwszy rzut oka wygląda to na utrudnianie życia administratorom. Za tą decyzją stoją jednak konkretne argumenty bezpieczeństwa:

• Mniejsze okno ataku: gdy klucz prywatny wycieknie, skradziony certyfikat może zostać nadużyty najwyżej przez kilka tygodni, a nie ponad rok.
• Mechanizmy unieważniania nie działają dobrze: listy CRL i protokół OCSP są w praktyce zawodne i część przeglądarek ich nie sprawdza. Krótki okres ważności staje się więc najskuteczniejszą formą odwołania certyfikatu.
• Aktualniejsze dane: częsta weryfikacja domeny ogranicza sytuacje, w których certyfikat nadal działa dla domeny, która zmieniła właściciela.
• Kryptograficzna zwinność: firmy, które sprawnie wymieniają certyfikaty, łatwiej przejdą na nowe algorytmy, w tym na kryptografię postkwantową. Szerzej piszemy o tym w artykule o komputerach kwantowych i bezpieczeństwie danych.

Podobny kierunek obrał Let's Encrypt, najpopularniejszy darmowy urząd certyfikacji. Zapowiedział stopniowe przejście ze standardowych 90 dni na certyfikaty 45-dniowe do 2028 roku.

Jakie problemy grożą firmom, które nie zautomatyzują odnawiania

Przy certyfikacie ważnym 47 dni odnawianie trzeba przeprowadzić mniej więcej co miesiąc, bo zalecany zapas to kilkanaście dni przed wygaśnięciem. Firma z pięcioma domenami i kilkoma usługami wewnętrznymi będzie miała w roku kilkadziesiąt do ponad stu operacji odnowienia. Wykonywanie ich ręcznie, z pamięcią i arkuszem Excela jako jedynym zabezpieczeniem, skończy się awarią.

Skutki wygasłego certyfikatu są dobrze znane:

• komunikat Połączenie nie jest prywatne na stronie firmowej i w sklepie internetowym, a więc utrata klientów i zaufania,
• przerwy w działaniu poczty, VPN, systemów ERP i integracji API,
• zatrzymane płatności online i błędy w aplikacjach mobilnych,
• gorsza pozycja w wyszukiwarce, gdy roboty trafiają na błędy TLS.

Najbardziej narażone są urządzenia i systemy, w których certyfikat wgrywa się ręcznie przez panel WWW: firewalle, serwery NAS, kontrolery Wi-Fi, lokalne serwery pocztowe, panele drukarek czy starsze aplikacje na IIS. Na co dzień nikt o nich nie myśli, dopóki nie przestaną działać. Metody inwentaryzacji i pilnowania terminów opisaliśmy w poradniku jak nie przegapić wygaśnięcia certyfikatu SSL. Przy nowych zasadach to absolutne minimum.

Automatyzacja: ACME, ARI i hosting, który robi to za Ciebie

Rozwiązaniem jest pełna automatyzacja cyklu życia certyfikatu. Standardem jest tu protokół ACME, z którego korzysta Let's Encrypt, a coraz częściej także komercyjne urzędy certyfikacji, takie jak DigiCert, Sectigo czy GlobalSign. Klient ACME (np. Certbot, acme.sh, win-acme na Windows Server albo moduły wbudowane w Caddy, Traefik i nowsze wersje nginx) sam generuje klucz, potwierdza domenę, pobiera certyfikat i przeładowuje usługę.

Warto zwrócić uwagę na rozszerzenie ARI (ACME Renewal Information). Dzięki niemu urząd certyfikacji może sam podpowiedzieć klientowi, kiedy odnowić certyfikat, np. wcześniej w razie masowego unieważnienia. To duże ułatwienie przy krótkich cyklach.

Dla wielu firm najprostsza droga to przeniesienie stron i aplikacji na hosting z automatycznym zarządzaniem certyfikatami, gdzie odnawianie odbywa się bez udziału użytkownika. Przy bardziej złożonej infrastrukturze, z wieloma serwerami, kontenerami, load balancerami i usługami wewnętrznymi, certyfikaty warto wpiąć w procesy DevOps i automatyzacji wdrożeń. Wtedy ich wymiana staje się kolejnym zadaniem w pipeline, a nie ryzykowną operacją ręczną.

Plan działania dla MŚP na najbliższe miesiące

Najbliższy termin to 15 marca 2027, gdy ważność spadnie do 100 dni. Zostało więc kilka miesięcy, żeby spokojnie się przygotować. Proponujemy następującą kolejność:

1. Inwentaryzacja: spisz wszystkie domeny, subdomeny i urządzenia z certyfikatami publicznymi. Pomocne są logi Certificate Transparency (np. crt.sh), w których widać każdy certyfikat wystawiony dla Twojej domeny.
2. Klasyfikacja: podziel systemy na te, które obsługują ACME, oraz te, które wymagają ręcznej instalacji. Dla tej drugiej grupy szukaj aktualizacji firmware, reverse proxy przed urządzeniem albo certyfikatów z wewnętrznego CA.
3. Wybór dostawcy: sprawdź, czy Twój urząd certyfikacji lub reseller oferuje ACME. Wiele firm przechodzi na model subskrypcyjny, w którym płaci się za okres, a nie za pojedynczy certyfikat.
4. Weryfikacja DNS: przy 10-dniowym okresie DCV najwygodniejsza jest automatyczna walidacja przez rekordy DNS, więc upewnij się, że Twój operator DNS udostępnia API.
5. Monitoring: nawet automatyzacja czasem zawodzi, dlatego alerty o zbliżającym się wygaśnięciu powinny trafiać do osoby odpowiedzialnej, a nie do nieobsługiwanej skrzynki.

Osobny temat to certyfikaty wewnętrzne, np. dla intranetu czy serwera plików. Nowe limity dotyczą tylko certyfikatów publicznych, więc w sieci lokalnej nadal można stosować własne CA z dłuższą ważnością. Wymaga to jednak przemyślanej konfiguracji i dystrybucji zaufanego certyfikatu głównego na stacje robocze.