Kratší platnost certifikátů Let's Encrypt: co to znamená pro Vás?
Let's Encrypt je bezplatný vydavatel certifikátů, které používá většina webů, a to i u WebOké. Certifikát od Let's Encrypt je nyní platný 90 dní. Tato doba se bude zkracovat a Let's Encrypt už navíc neposílá upozornění e-mailem, když se blíží konec platnosti certifikátu. Zde se dozvíte, co se mění a co máte udělat.
Co se mění
| Datum | Co |
|---|---|
| 4 juni 2025 | Let's Encrypt přestává posílat e-maily o končících certifikátech. |
| 13 mei 2026 | Kdo si to sám zvolí (profil tlsserver), dostane certifikáty s platností 45 dní. |
| 10 februari 2027 | Standardní profil vydává certifikáty s platností 64 dní. |
| 16 februari 2028 | Standardní profil vydává certifikáty s platností 45 dní. |
Zkracuje se také doba, po kterou se pamatuje úspěšné ověření Vaší domény: od února 2027 deset dní, od února 2028 už jen sedm hodin. Projeví se to hlavně tehdy, když certifikát žádáte ručně pomocí DNS záznamu: tento krok pak budete muset opakovat častěji.
Let's Encrypt se tím řídí pravidly CA/Browser Forum, která platí pro všechny vydavatele. Certifikát s kratší platností omezuje škody, když se něco pokazí, například při úniku klíče. Důsledek pro Vás: ruční obnova už nepřichází v úvahu. Musí probíhat automaticky a Vy sami musíte hlídat, že funguje.
Na Vašem hostingovém balíčku: nemusíte nic dělat
U hostingového balíčku certifikát vyžádá a automaticky prodlužuje DirectAdmin. Nemusíte nic měnit. Vaše doména však musí i nadále směřovat na náš server, protože Let's Encrypt to při prodloužení znovu ověřuje. Viz Aktivace a obnova SSL certifikátu a řešení problémů.
Do kdy je Váš certifikát platný, zjistíte pomocí nástroje Zdraví domény. Pokud platnost vyprší do 14 dní, nástroj Vás upozorní, že obnova se opožďuje. V takovém případě se v DirectAdminu v části SSL certifikáty podívejte, zda tam nejsou neúspěšná ověření.
Používáte certifikát i mimo svůj balíček, například proto, že jej ručně kopírujete do jiného zařízení nebo služby? Pak to brzy budete muset dělat každých několik týdnů. Raději nechte toto zařízení nebo službu, ať si certifikát vyžádá samo.
Na VPS: zařiďte a kontrolujte si to sami
Na VPS si obnovu zajišťujete sami, pomocí certbotu, Caddy nebo ACME klienta Vašeho softwaru. Viz nginx s certifikátem od Let's Encrypt a Caddy: web s automatickým https. S certbotem zkontrolujte následující:
- Ověřte, že časovač pro obnovu existuje a běží:
systemctl list-timers 'certbot*'
- Proveďte zkušební obnovu. Ta nežádá o skutečný certifikát:
sudo certbot renew --dry-run
Pokud skončí hlášením, že všechny simulace proběhly úspěšně, obnova funguje. - Načítá Váš webový server i nový certifikát? S pluginem pro nginx to certbot zařídí sám. Pokud používáte
certbot certonly, nastavte deploy hook, který Váš webový server znovu načte. - Udržujte svého ACME klienta aktuálního prostřednictvím repozitáře balíčků. Let's Encrypt doporučuje ARI (ACME Renewal Information): pomocí něj Let's Encrypt sám sděluje, kdy je třeba certifikát obnovit.
Vytvořili jste si vlastní skript nebo cron záznam, který obnovuje například každých 60 dní? To selže, jakmile budou certifikáty platné kratší dobu. Nechte klienta, ať sám určí, kdy je čas, a nechte jej kontrolovat alespoň jednou denně.
VPS a vše, co na něm běží, spravujete sami. My pomáháme s částí WebOké: panelem, sítí a snapshoty.
Hlídejte datum vypršení
Protože už nechodí upozornění e-mailem, Let's Encrypt sám doporučuje hlídat, zda obnova funguje. Monitorovací služba, která čte datum vypršení Vašeho certifikátu a upozorní Vás, když zbývá méně než 14 dní, včas zachytí tiše selhanou obnovu. Viz Monitorování webu: dostupnost, certifikát a doména.
Další informace
- Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, anglicky)
- Expiration Notification Service Has Ended (Let's Encrypt, anglicky)
Chcete se dozvědět víc? Absolvujte bezplatný kurz VPS a správa linuxových serverů, lekce 7.3 https s Let's Encrypt.