Platnost SSL certifikátu 2026–2029: z 398 na 47 dní. Co se mění

Stručně: od 15. března 2026 činí maximální platnost SSL certifikátu – přesněji veřejně důvěryhodného TLS certifikátu – 200 dní. Od 15. března 2027 klesne limit na 100 dní a od 15. března 2029 na 47 dní. Harmonogram vychází z hlasování CA/Browser Forum SC-081v3, přijatého 11. dubna 2025, a závazný je pro všechny veřejné certifikační autority – placené i bezplatné, pro DV, OV i EV certifikáty. Pokud kterýkoli krok vaší obnovy závisí na člověku, připomínce v kalendáři nebo e-mailu od certifikační autority, někde na této cestě selže.

Fakta ověřena 14. října 2026 podle hlasování CA/Browser Forum, jeho shrnutí od DigiCert a oznámení samotného Let's Encrypt. Zdroje jsou uvedeny na konci článku.

Platnost SSL certifikátu: harmonogram v kostce

Poslední sloupec je teoretické minimum – obnova až v poslední den platnosti. Tak to nikdo rozumný nedělá. S běžnou rezervou znamená fáze 47 dní obnovu zhruba jednou za měsíc, tedy přibližně 12 obnov na certifikát ročně.

K 15. březnu 2026 začala platit ještě jedna změna: údaje o organizaci u OV a EV certifikátů (tzv. „subject identity information“) lze nově znovu použít po dobu 398 dní místo 825.

Změnila se dvě čísla a to druhé je důležitější

Maximální platnost určuje, jak často nový certifikát instalujete. Doba opakovaného použití validace domény určuje, jak často musí certifikační autorita znovu ověřit, že doménu ovládáte – přes DNS záznam, soubor pro HTTP challenge nebo e-mail.

Dnes lze úspěšnou validaci znovu použít celé měsíce, takže křehké nastavení validace může zůstat dlouho nepovšimnuté. Od roku 2029 je okno pro opakované použití 10 dní, takže prakticky každá obnova spustí novou validaci. Krok, který dřív proběhl jednou ročně a někdo ho u toho hlídal, poběží každý měsíc bez dozoru. Pokud vypršel API token k DNS nebo pravidlo firewallu blokuje challenge, zjistíte to ve chvíli, kdy vyprší certifikát.

A co Let's Encrypt? Míří na 45 dní

Certifikáty Let's Encrypt už dnes platí 90 dní, tedy hluboko pod novými limity. Let's Encrypt je ale zkracuje také:

• 13. května 2026 – volitelný profil tlsserver začal vydávat certifikáty s platností 45 dní.
• 10. února 2027 – výchozí profil classic přejde na certifikáty s platností 64 dní a 10denní dobu opakovaného použití autorizace.
• 16. února 2028 – profil classic přejde na certifikáty s platností 45 dní a 7hodinovou dobu opakovaného použití autorizace.

Let's Encrypt doporučuje nechat rozhodnutí na klientovi pomocí ACME Renewal Information (ARI), případně obnovovat zhruba ve dvou třetinách životnosti certifikátu. Výslovně uvádí, že obnova v pevně nastaveném intervalu 60 dní už stačit nebude. Pokud vaše řešení obnovuje podle kalendáře, a ne podle zbývající doby platnosti, má samo své datum expirace.

Je tu ještě druhá, méně nápadná změna. Dne 4. června 2025 Let's Encrypt přestal posílat e-maily s upozorněním na expiraci. Záchranná síť, na kterou spoléhala řada týmů – „když obnova selže, Let's Encrypt mi pošle e-mail“ – už neexistuje.

Kde obnova ve skutečnosti selhává

Expirace SSL certifikátu málokdy nastane proto, že se o obnovu nikdo nepokusil. Obvykle za ní stojí obnova, která proběhla jen napůl:

1. Obnoveno, ale nenasazeno. Nový certifikát leží na disku, ale webový server se nikdy znovu nenačetl, takže dál servíruje ten starý, dokud nevyprší.
2. Kopie jinde. Certifikát byl obnoven na zdrojovém serveru, ale CDN, load balancer, poštovní server nebo API gateway má stále nahranou starou kopii.
3. Validace, která fungovala jen jednou. Vypršel API token u poskytovatele DNS, DNS se přesunulo k jinému poskytovateli, CAA záznam blokuje certifikační autoritu nebo firewall zastaví HTTP challenge.
4. Ručně spravované certifikáty. Placený OV nebo EV certifikát nainstalovaný ručně na zařízení nebo v administraci hostingu (cPanel, vlastní administrace poskytovatele). Při 47 dnech to znamená až tucet ručních úkonů na certifikát ročně.
5. Úloha pro obnovu, která zmizela. Záznam v cronu nebo systemd timer, který se ztratil při migraci serveru, nebo kontejner sestavený znovu bez něj.

Společný jmenovatel: nástroj pro obnovu hlásí úspěch, nebo nehlásí nic, a nikdo nekontroluje, co návštěvníci skutečně dostávají.

Monitorování SSL certifikátu: sledujte, co vidí internet, ne co je na disku

Externí kontrola certifikátu se k vašemu serveru připojí stejně jako prohlížeč a přečte certifikát, který se skutečně servíruje. Nezajímá ji, proč se něco pokazilo, takže zachytí všech pět selhání popsaných výše. Užitečná kontrola sleduje:

• kolik dní zbývá servírovanému certifikátu;
• zda certifikát pokrývá kontrolovaný hostname;
• zda řetězec vede k důvěryhodné kořenové autoritě;
• zda není self-signed, ještě neplatný nebo podepsaný slabým hashem;
• kdy se objeví nový certifikát – potvrzení, že se obnova dostala do produkce.

Prahy pro upozornění se musí řídit životností certifikátu. Varování „zbývá 30 dní“ dává smysl u ročního certifikátu, ale u certifikátu na 47 dní by se spustilo zhruba dva týdny po instalaci, přestože vaše automatizace funguje bezchybně. Pevné prahy učí lidi upozornění ignorovat a ignorované upozornění je horší než žádné.

Jak AlertSleep řeší kratší certifikáty

V AlertSleep je monitorování certifikátu součástí každého HTTPS monitoru, nikoli samostatným produktem. U každého z nich:

• se certifikát kontroluje každých 6 hodin;
• chodí upozornění 30, 14, 7, 3 a 1 den před expirací – práh se ale vynechá, pokud odpovídá třetině životnosti certifikátu nebo více, takže čerstvě obnovený krátký certifikát nikdy nespustí poplach;
• dostanete upozornění, když certifikát vypršel, ještě neplatí, nepokrývá doménu, je self-signed, používá slabý hash podpisu, má poškozený řetězec nebo úplně chybí;
• se dozvíte, když se začne servírovat nový certifikát, takže obnovu uvidíte dorazit do produkce a nemusíte to jen předpokládat.

V praxi vycházejí prahy takto:

Upozornění přicházejí e-mailem a do dashboardu a také přes Slack, Telegram, Microsoft Teams a další integrace, u kterých zapnete notifikace o certifikátech.

Zkontrolujte jednu doménu hned teď v nástroji SSL Checker, který je zdarma. Když k výsledku zadáte svůj e-mail, budeme certifikát dál hlídat za vás a upozorníme vás před jeho expirací. Vše ostatní najdete na stránce monitorování SSL certifikátů.

Kontrolní seznam: co stihnout do 15. března 2027

1. Sepište všechny veřejné hostnamy s certifikátem – weby, API, poštovní servery, koncové body CDN, stavové stránky. Logy Certificate Transparency (například crt.sh) ukazují všechny certifikáty, které kdy byly pro vaši doménu vydány, včetně těch, na které jste zapomněli.
2. U každého si poznamenejte, co ho obnovuje, a zda je proces automatizovaný od začátku do konce, včetně reloadu serveru nebo nahrání do CDN.
3. Nahraďte obnovu v pevném intervalu obnovou podle zbývající doby platnosti, případně ARI, pokud ho váš ACME klient podporuje.
4. Otestujte cestu validace: přístupové údaje k DNS API a datum jejich expirace, CAA záznamy a pravidla firewallu pro HTTP challenge.
5. Najděte ručně spravované certifikáty na zařízeních, v administracích hostingu a v nahraných konfiguracích CDN a naplánujte jejich automatizaci nebo přechod na spravované certifikáty.
6. Nasaďte externí kontrolu na každý hostname z kroku 1, aby se příští selhání projevilo jako upozornění, a ne jako varování v prohlížeči.

Časté dotazy

Přestanou certifikáty, které už mám, 15. března 2027 fungovat?

Ne. Limity platí pro certifikáty vydané k danému datu nebo později. SSL certifikát na 200 dní vydaný 1. března 2027 zůstane platný až do svého vlastního data expirace.

Týká se to i interních nebo privátních certifikátů?

Ne. Pravidla se vztahují na veřejně důvěryhodné TLS certifikáty vydávané podle Baseline Requirements CA/Browser Forum. Privátní certifikační autorita používaná uvnitř vaší firmy se řídí vašimi vlastními pravidly.

Dá se limitu vyhnout koupí OV nebo EV certifikátu?

Ne. Maximální platnost je stejná pro DV, OV i EV certifikáty. Placené certifikáty se častěji obnovují ručně, takže obvykle jako první způsobí potíže.

Proč se platnost SSL certifikátu zkracuje?

Kratší platnost omezuje dobu, po kterou lze zneužít kompromitovaný nebo chybně vydaný certifikát, a snižuje závislost na kontrolách revokace, které prohlížeče provádějí nespolehlivě. Zároveň vynucuje automatizaci, která odstraňuje lidský krok, na kterém se většina obnov pokazí.

Kolikrát ročně budu obnovovat SSL certifikát na 47 dní?

Nejméně osmkrát na certifikát, s rozumnou rezervou zhruba dvanáctkrát. Při plné automatizaci to není víc práce než jedna obnova – bez ní je to měsíční povinnost u každého hostname.

Zdroje

• CA/Browser Forum – hlasování SC-081v3: harmonogram zkracování doby platnosti a opakovaného použití dat
• DigiCert – Platnost TLS certifikátů se oficiálně zkrátí na 47 dní
• Let's Encrypt – Zkrácení platnosti certifikátů na 45 dní
• Let's Encrypt – Konec e-mailových upozornění na expiraci