Kortere looptijden van Let's Encrypt-certificaten: wat betekent dat voor jou?
Let's Encrypt is de gratis uitgever van certificaten die de meeste websites gebruiken, ook bij WebOké. Een certificaat van Let's Encrypt is nu 90 dagen geldig. Dat wordt korter, en Let's Encrypt stuurt al geen herinneringsmails meer als een certificaat bijna verloopt. Hier lees je wat er verandert en wat je moet doen.
Wat er verandert
| Datum | Wat |
|---|---|
| 4 juni 2025 | Let's Encrypt stopt met mails over verlopende certificaten. |
| 13 mei 2026 | Wie er zelf voor kiest (het profiel tlsserver), krijgt certificaten van 45 dagen. |
| 10 februari 2027 | Het standaardprofiel geeft certificaten van 64 dagen uit. |
| 16 februari 2028 | Het standaardprofiel geeft certificaten van 45 dagen uit. |
Ook een geslaagde controle van je domeinnaam wordt korter onthouden: vanaf februari 2027 tien dagen, vanaf februari 2028 nog maar zeven uur. Dat merk je vooral als je een certificaat met de hand via een DNS-record aanvraagt: dan moet je die stap vaker opnieuw doen.
Let's Encrypt volgt hiermee de regels van het CA/Browser Forum, die voor alle uitgevers gelden. Een korter geldig certificaat beperkt de schade als er iets misgaat, zoals een uitgelekte sleutel. Het gevolg voor jou: met de hand vernieuwen is geen optie meer. Het moet automatisch, en je moet zelf in de gaten houden dat dat lukt.
Op je hostingpakket: niets te doen
Bij een hostingpakket vraagt DirectAdmin het certificaat aan en verlengt het vanzelf. Daarvoor hoef je niets te veranderen. Wel moet je domein naar onze server blijven wijzen, want Let's Encrypt controleert bij het verlengen opnieuw of dat zo is. Zie SSL-certificaat activeren, vernieuwen en problemen oplossen.
Tot wanneer je certificaat geldig is, zie je met Domein gezondheid. Verloopt het binnen 14 dagen, dan meldt die dat de vernieuwing achterloopt. Kijk dan in DirectAdmin bij SSL/TLS certificaten of er mislukte controles staan.
Gebruik je een certificaat ook buiten je pakket, bijvoorbeeld omdat je het met de hand naar een ander apparaat of een andere dienst kopieert? Dan moet je dat straks elke paar weken doen. Laat dat apparaat of die dienst liever zelf een certificaat aanvragen.
Op een VPS: zelf regelen en controleren
Op een VPS regel je het vernieuwen zelf, met certbot, Caddy of de ACME-client van je software. Zie nginx met een certificaat van Let's Encrypt en Caddy: een website met automatische https. Loop met certbot dit na:
- Kijk of de timer voor het vernieuwen bestaat en loopt:
systemctl list-timers 'certbot*'
- Doe een proefvernieuwing. Die vraagt geen echt certificaat aan:
sudo certbot renew --dry-run
Eindigt die met een melding dat alle simulaties gelukt zijn, dan werkt het vernieuwen. - Laadt je webserver het nieuwe certificaat ook? Met de plug-in voor nginx regelt certbot dat zelf. Gebruik je
certbot certonly, zet dan een deploy hook neer die je webserver herlaadt. - Houd je ACME-client bijgewerkt via de pakketbron. Let's Encrypt raadt ARI aan (ACME Renewal Information): daarmee vertelt Let's Encrypt zelf wanneer een certificaat vernieuwd moet worden.
Heb je een eigen script of cronregel gemaakt die bijvoorbeeld elke 60 dagen vernieuwt? Dat gaat mis zodra certificaten korter geldig zijn. Laat de client zelf bepalen wanneer het tijd is, en laat hem minstens elke dag kijken.
De VPS en alles wat erop draait beheer je zelf. Wij helpen met het WebOké-deel: het paneel, het netwerk en snapshots.
Bewaak de vervaldatum
Omdat er geen herinneringsmails meer komen, raadt Let's Encrypt zelf aan om te bewaken of vernieuwen lukt. Een bewakingsdienst die de vervaldatum van je certificaat leest en waarschuwt bij minder dan 14 dagen, vangt een stil mislukte vernieuwing op tijd op. Zie Je website laten bewaken: bereikbaarheid, certificaat en domein.
Verder lezen
- Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, Engels)
- Expiration Notification Service Has Ended (Let's Encrypt, Engels)
Meer leren? Volg de gratis cursus VPS en Linux-serverbeheer, les 7.3 https met Let's Encrypt.