Ważność certyfikatu SSL 2026–2029: z 398 do 47 dni. Co się zmienia

W skrócie: od 15 marca 2026 r. maksymalna ważność certyfikatu SSL (publicznie zaufanego certyfikatu TLS) wynosi 200 dni. 15 marca 2027 r. limit spada do 100 dni, a 15 marca 2029 r. – do 47 dni. Harmonogram pochodzi z głosowania CA/Browser Forum SC-081v3, przyjętego 11 kwietnia 2025 r., i obowiązuje każdy publiczny urząd certyfikacji – płatny czy darmowy, DV, OV czy EV. Jeśli którykolwiek krok odnowienia zależy od człowieka, przypomnienia w kalendarzu albo e-maila od wystawcy certyfikatu, gdzieś na tej drodze się wyłoży.

Fakty zweryfikowane 14 października 2026 r. na podstawie głosowania CA/Browser Forum, jego podsumowania przygotowanego przez DigiCert oraz komunikatów Let's Encrypt. Źródła znajdziesz na końcu artykułu.

Ważność certyfikatu SSL: harmonogram w skrócie

Ostatnia kolumna to teoretyczne minimum – przy odnawianiu w ostatnim dniu ważności. Nikt rozsądny tak nie robi. Przy normalnym zapasie bezpieczeństwa etap 47-dniowy oznacza odnawianie mniej więcej co miesiąc, czyli około 12 odnowień na certyfikat rocznie.

15 marca 2026 r. weszła w życie jeszcze jedna zmiana: dane organizacji stojące za certyfikatami OV i EV (tzw. „subject identity information”) można teraz ponownie wykorzystywać przez 398 dni zamiast 825.

Zmieniły się dwie liczby – i ważniejsza jest ta druga

Maksymalna ważność decyduje o tym, jak często instalujesz nowy certyfikat. Okres ponownego użycia walidacji domeny decyduje o tym, jak często urząd certyfikacji musi ponownie sprawdzić, że kontrolujesz domenę – przez rekord DNS, plik wyzwania HTTP albo e-mail.

Dziś udaną walidację można wykorzystywać miesiącami, więc kruchy mechanizm walidacji potrafi długo pozostać niezauważony. Od 2029 r. okno ponownego użycia wynosi 10 dni, co oznacza, że praktycznie każde odnowienie wymusza świeżą walidację. Krok, który wykonywał się raz w roku, pod czyimś okiem, będzie się wykonywał co miesiąc, bez nadzoru. Jeśli token do API DNS wygasł albo reguła firewalla blokuje wyzwanie, dowiesz się o tym w chwili, gdy wygaśnie certyfikat.

A co z Let's Encrypt?

Certyfikaty Let's Encrypt już teraz są ważne 90 dni, czyli z dużym zapasem mieszczą się w nowych limitach. Ale Let's Encrypt też je skraca:

• 13 maja 2026 r. – opcjonalny profil tlsserver zaczął wystawiać certyfikaty 45-dniowe.
• 10 lutego 2027 r. – domyślny profil classic przechodzi na certyfikaty 64-dniowe i 10-dniowy okres ponownego użycia autoryzacji.
• 16 lutego 2028 r. – profil classic przechodzi na certyfikaty 45-dniowe z 7-godzinnym okresem ponownego użycia autoryzacji.

Let's Encrypt zaleca, by o terminie odnowienia decydował klient na podstawie ACME Renewal Information (ARI) albo by odnawiać certyfikat po upływie mniej więcej dwóch trzecich jego ważności. Wprost zaznacza, że odnawianie co sztywno ustawione 60 dni przestanie wystarczać. Jeśli Twoja konfiguracja odnawia certyfikaty według kalendarza, a nie według pozostałego czasu ważności, sama ma datę ważności.

Jest też druga, mniej głośna zmiana. 4 czerwca 2025 r. Let's Encrypt przestał wysyłać e-maile ostrzegające o wygaśnięciu certyfikatu. Siatka bezpieczeństwa, na której polegało wiele zespołów – „jak odnowienie się nie uda, Let's Encrypt przyśle mi maila” – już nie istnieje.

Gdzie odnowienia naprawdę zawodzą

Wygaśnięcie certyfikatu SSL rzadko wynika z tego, że nikt nie próbował go odnowić. Zwykle stoi za nim odnowienie, które zadziałało tylko połowicznie:

1. Odnowiony, ale niewdrożony. Nowy certyfikat leży na dysku, ale serwer WWW nie został przeładowany, więc do końca serwuje stary – aż ten wygaśnie.
2. Kopie w innych miejscach. Certyfikat odnowiono na serwerze źródłowym, a CDN, load balancer, serwer poczty albo bramka API wciąż trzymają wgraną wcześniej kopię.
3. Walidacja, która zadziałała tylko raz. Wygasł token API u dostawcy DNS, DNS przeniesiono do innego dostawcy, rekord CAA blokuje urząd certyfikacji albo firewall zatrzymuje wyzwanie HTTP.
4. Certyfikaty instalowane ręcznie. Płatny certyfikat OV lub EV wgrany ręcznie na urządzenie sieciowe albo w panelu hostingowym – DirectAdmin, cPanel czy panelu lokalnego hostingodawcy. Przy 47 dniach to nawet kilkanaście ręcznych operacji na certyfikat rocznie.
5. Zadanie odnawiania, które zniknęło. Wpis w cronie albo timer systemd zgubiony przy migracji serwera albo kontener przebudowany bez niego.

Wspólny mianownik: narzędzie do odnawiania raportuje sukces albo nie raportuje niczego, a nikt nie sprawdza, co faktycznie dostają odwiedzający.

Monitorowanie certyfikatu SSL: sprawdzaj to, co widzi internet, a nie to, co leży na dysku

Zewnętrzne sprawdzenie certyfikatu łączy się z Twoim hostem tak jak przeglądarka i odczytuje certyfikat, który jest faktycznie serwowany. Nie obchodzi go, dlaczego coś poszło nie tak, więc wyłapuje wszystkie pięć awarii opisanych wyżej. Sensowne sprawdzenie bierze pod uwagę:

• ile dni ważności zostało serwowanemu certyfikatowi;
• czy obejmuje on sprawdzaną nazwę hosta;
• czy łańcuch prowadzi do zaufanego certyfikatu głównego;
• czy certyfikat jest samopodpisany, jeszcze nieważny albo podpisany słabym algorytmem skrótu;
• moment, w którym pojawia się nowy certyfikat – potwierdzenie, że odnowienie dotarło na produkcję.

Progi alertów muszą nadążać za okresem ważności certyfikatu. Ostrzeżenie „zostało 30 dni” ma sens przy certyfikacie rocznym, ale przy certyfikacie 47-dniowym odpaliłoby się mniej więcej dwa tygodnie po instalacji, kiedy automatyzacja działa bez zarzutu. Sztywne progi uczą ludzi ignorować alerty, a ignorowany alert jest gorszy niż żaden.

Jak AlertSleep radzi sobie z krótszymi certyfikatami

W AlertSleep monitorowanie certyfikatu jest częścią każdego monitora HTTPS, a nie osobnym produktem. Dla każdego z nich:

• certyfikat jest sprawdzany co 6 godzin;
• ostrzeżenia wychodzą 30, 14, 7, 3 i 1 dzień przed wygaśnięciem – ale próg jest pomijany, jeśli wynosi jedną trzecią okresu ważności certyfikatu lub więcej, więc świeżo odnowiony krótki certyfikat nigdy nie wywoła alarmu;
• dostajesz alert, gdy certyfikat wygasł, nie jest jeszcze ważny, nie obejmuje domeny, jest samopodpisany, używa słabego algorytmu skrótu w podpisie, ma przerwany łańcuch albo w ogóle go brakuje;
• dostajesz informację, gdy serwowany jest nowy certyfikat, więc widzisz, że odnowienie dotarło na produkcję, zamiast to zakładać.

W praktyce progi wyglądają tak:

Alerty trafiają na e-mail i do panelu, a także przez Slack, Telegram, Microsoft Teams i inne integracje, w których włączysz powiadomienia o certyfikatach.

Sprawdź jedną domenę od razu: wpisz ją w darmowym narzędziu SSL Checker. Zostaw e-mail przy wyniku, a będziemy dalej pilnować tego certyfikatu i ostrzeżemy Cię przed jego wygaśnięciem. Pozostałe możliwości opisuje strona o monitoringu certyfikatów SSL.

Lista kontrolna do zamknięcia przed 15 marca 2027 r.

1. Spisz wszystkie publiczne nazwy hostów z certyfikatem – strony, API, serwery poczty, endpointy CDN, strony statusu. Logi Certificate Transparency (na przykład crt.sh) pokazują każdy certyfikat, jaki kiedykolwiek wystawiono dla Twojej domeny, także te, o których zapomniałeś.
2. Przy każdym zapisz, co go odnawia i czy proces jest zautomatyzowany od początku do końca, łącznie z przeładowaniem serwera albo wgraniem certyfikatu do CDN.
3. Zastąp odnawianie w stałych odstępach odnawianiem na podstawie pozostałego czasu ważności albo ARI, jeśli Twój klient ACME je obsługuje.
4. Przetestuj ścieżkę walidacji: dane dostępowe do API DNS i ich datę ważności, rekordy CAA oraz reguły firewalla dla wyzwań HTTP.
5. Znajdź certyfikaty instalowane ręcznie – na urządzeniach sieciowych, w panelach hostingowych i we wgranych konfiguracjach CDN – i zaplanuj ich automatyzację albo przejście na certyfikaty zarządzane.
6. Ustaw zewnętrzne sprawdzanie każdej nazwy hosta z punktu 1, żeby następna awaria pojawiła się jako alert, a nie jako ostrzeżenie w przeglądarce.

Jeśli chcesz zobaczyć szerszy obraz – jak monitorować stronę, a nie tylko jej certyfikat – przeczytaj Monitoring strony internetowej — kompletny poradnik dla właścicieli firm (2026).

FAQ

Czy certyfikaty, które już mam, przestaną działać 15 marca 2027 r.?

Nie. Limity dotyczą certyfikatów wystawionych w danym dniu lub później. Certyfikat 200-dniowy wystawiony 1 marca 2027 r. pozostaje ważny do swojej własnej daty wygaśnięcia.

Czy to dotyczy certyfikatów wewnętrznych lub prywatnych?

Nie. Zasady obejmują publicznie zaufane certyfikaty TLS wystawiane zgodnie z CA/Browser Forum Baseline Requirements. Prywatny urząd certyfikacji używany wewnątrz firmy podlega Twojej własnej polityce.

Czy mogę obejść limit, kupując certyfikat OV lub EV?

Nie. Maksymalna ważność jest taka sama dla certyfikatów DV, OV i EV. Płatne certyfikaty częściej są odnawiane ręcznie, więc zwykle to one pierwsze sprawiają kłopoty.

Dlaczego ważność certyfikatów jest skracana?

Krótszy okres ważności ogranicza czas, przez jaki można nadużywać przejętego lub błędnie wystawionego certyfikatu, i zmniejsza zależność od sprawdzania unieważnień, które przeglądarki wykonują w sposób zawodny. Wymusza też automatyzację, która usuwa ludzki krok – ten, na którym najczęściej wykładają się odnowienia.

Ile razy w roku odnowię certyfikat SSL ważny 47 dni?

Co najmniej osiem razy na certyfikat, a przy rozsądnym zapasie bezpieczeństwa – około dwunastu. Przy pełnej automatyzacji to nie więcej pracy niż jedno odnowienie. Bez niej to comiesięczny obowiązek dla każdej nazwy hosta.

Źródła

• CA/Browser Forum – głosowanie SC-081v3: harmonogram skracania okresów ważności i ponownego użycia danych
• DigiCert – ważność certyfikatów TLS oficjalnie spadnie do 47 dni
• Let's Encrypt – skrócenie ważności certyfikatów do 45 dni
• Let's Encrypt – koniec e-maili z powiadomieniami o wygaśnięciu