Certyfikat SSL na 45 dni? Nadchodzi koniec „ustaw i zapomnij”

Pamiętacie czasy, gdy certyfikat SSL kupowało się na 2, a nawet 3 lata? Potem Google i Apple powiedziały „dość” i skróciły ten okres do roku (a dokładnie 398 dni). Jeśli myśleliście, że to koniec dokręcania śruby, to mam dla Was nowinę: branża właśnie szykuje nam powrót do przeszłości, tyle że w wersji hardcore.

Zamiast raz w roku, o SSL będziesz musiał myśleć co kilka tygodni. A jeśli robisz to ręcznie… cóż, współczuję Twojemu kalendarzowi.

Co się zmienia? (Spoiler: Daty mają znaczenie)

Zgodnie z nowymi wytycznymi CA/B Forum (to ci ludzie, którzy decydują, czy Twoja przeglądarka wyświetla zieloną kłódkę, czy wielki czerwony komunikat o zagrożeniu), czeka nas stopniowe „odcinanie tlenu” długodystansowym certyfikatom.

Harmonogram wygląda tak:

1. Od 15 marca 2026 r. – Maksymalna ważność certyfikatu spada do 200 dni.
2. Od 15 marca 2027 r. – Skracamy do 100 dni.
3. Docelowo (2029 r.) – Certyfikat będzie ważny tylko 47 dni.

To nie jest złośliwość programistów. Oficjalny powód? Bezpieczeństwo. Im krótszy termin ważności, tym mniejsza szansa, że skradziony klucz będzie użyteczny przez lata, i tym szybciej można wymusić na internecie przejście na nowsze, bezpieczniejsze standardy szyfrowania.

Dlaczego jako soloprener powinieneś się tym przejąć?

Jeśli prowadzisz mały biznes lub działasz solo, prawdopodobnie masz na głowie ważniejsze rzeczy niż sprawdzanie, czy Twoja strona nie „wywali” błędu certyfikatu w środku kampanii sprzedażowej.

Problem polega na tym, że dla wielu dostawców komercyjnych SSL-i model „płacę za rok” przestaje się pokrywać z technikaliami. Kupujesz certyfikat na 12 miesięcy, ale technicznie będziesz musiał go „odświeżać” (reissue) co 200, a potem co 47 dni. Jeśli Twój hosting nie ogarnia tego automatycznie, czeka Cię zabawa w kopiowanie i wklejanie kluczy RSA w panelu zarządzania serwerem co półtora miesiąca.

Strategia: Automatyzacja albo śmierć (biznesowa)

W świecie, gdzie certyfikat żyje 45 dni, ręczne zarządzanie nim to proszenie się o kłopoty. Każda pomyłka to:

• Spadek zaufania klientów (komunikat „To połączenie nie jest bezpieczne” zabija konwersję szybciej niż brak kawy rano),
• Problemy z SEO,
• Chaos operacyjny.

Jedynym sensownym wyjściem jest protokół ACME (czyli to, co robi Let’s Encrypt) i pełna automatyzacja po stronie serwera.

Dobra wiadomość na koniec

Jeśli śledzicie mojego bloga i korzystacie z polecanych przeze mnie hostingów, możecie spać spokojnie. Większość nowoczesnych dostawców (szczególnie ci, których promuję jako solidne fundamenty pod biznes) ma wdrożone mechanizmy, które załatwiają sprawę w tle.

W tych rozwiązaniach to serwer „dogaduje się” z wystawcą certyfikatu. Nawet jeśli okres opłacony u hostingu wynosi rok, system sam zadba o to, by certyfikat odświeżył się co 90, 45 czy nawet 10 dni, bez angażowania Twojego czasu. Data ważności certyfikatu przestaje być tożsama z datą faktury za hosting. I tak to powinno wyglądać.

Sprawdź swój status (zanim zrobi to klient)

Nie masz pewności, czy Twój obecny hosting poradzi sobie z nadchodzącymi zmianami? A może Twój SSL jest „wbity na sztywno” i boisz się, że strona nagle zgaśnie?

Zróbmy szybki audyt. Sprawdzę Twoją obecną infrastrukturę i powiem Ci prosto w twarz: zostajesz w bezpiecznej przystani, czy musisz szybko uciekać z tonącego statku, zanim marzec 2026 uderzy Cię po kieszeni.