Let's Encrypt -varmenteiden lyhyemmät voimassaoloajat: mitä tämä tarkoittaa sinulle?

Let's Encrypt on ilmainen varmenteiden myöntäjä, jota useimmat verkkosivustot käyttävät, myös WebOkéssa. Let's Encryptin varmenne on nyt voimassa 90 päivää. Voimassaoloaika lyhenee, eikä Let's Encrypt enää lähetä muistutussähköposteja, kun varmenne on vanhenemassa. Tästä näet, mikä muuttuu ja mitä sinun pitää tehdä.

Mikä muuttuu

Myös onnistunut verkkotunnuksen tarkistus muistetaan lyhyemmän aikaa: helmikuusta 2027 alkaen kymmenen päivää, helmikuusta 2028 alkaen enää seitsemän tuntia. Huomaat tämän erityisesti, jos haet varmenteen käsin DNS-tietueen avulla: silloin joudut tekemään sen vaiheen useammin uudelleen.

Let's Encrypt noudattaa tässä CA/Browser Forumin sääntöjä, jotka koskevat kaikkia myöntäjiä. Lyhyemmän aikaa voimassa oleva varmenne rajoittaa vahinkoa, jos jokin menee pieleen, esimerkiksi avain vuotaa. Seuraus sinulle: käsin uusiminen ei ole enää vaihtoehto. Uusimisen pitää tapahtua automaattisesti, ja sinun pitää itse seurata, että se onnistuu.

Webhotellipaketissa: ei mitään tehtävää

Webhotellipaketissa DirectAdmin hakee varmenteen ja uusii sen automaattisesti. Sinun ei tarvitse muuttaa mitään. Verkkotunnuksesi pitää kuitenkin edelleen osoittaa palvelimellemme, koska Let's Encrypt tarkistaa sen uudelleen uusimisen yhteydessä. Katso SSL-varmenteen aktivointi, uusiminen ja ongelmien ratkaisu.

Näet varmenteesi voimassaoloajan Verkkotunnuksen terveys -työkalulla. Jos varmenne vanhenee 14 päivän kuluessa, työkalu ilmoittaa, että uusiminen on myöhässä. Tarkista silloin DirectAdminin kohdasta SSL Certificates, onko siellä epäonnistuneita tarkistuksia.

Käytätkö varmennetta myös pakettisi ulkopuolella, esimerkiksi kopioimalla sen käsin toiseen laitteeseen tai palveluun? Silloin joudut pian tekemään sen muutaman viikon välein. Anna mieluummin laitteen tai palvelun hakea varmenne itse.

VPS:llä: hoida ja tarkista itse

VPS:llä hoidat uusimisen itse certbotilla, Caddylla tai ohjelmistosi ACME-asiakasohjelmalla. Katso nginx ja Let's Encryptin varmenne ja Caddy: verkkosivusto automaattisella https:llä. Käy certbotin kanssa läpi seuraavat asiat:

1. Tarkista, että uusimisen ajastin on olemassa ja käynnissä:

   systemctl list-timers 'certbot*'

2. Tee koeuusinta. Se ei hae oikeaa varmennetta:

   sudo certbot renew --dry-run

   Jos se päättyy ilmoitukseen, että kaikki simulaatiot onnistuivat, uusiminen toimii.
3. Lataako verkkopalvelimesi myös uuden varmenteen? Nginx-lisäosaa käyttäessä certbot hoitaa sen itse. Jos käytät komentoa certbot certonly, lisää deploy hook, joka lataa verkkopalvelimesi uudelleen.
4. Pidä ACME-asiakasohjelmasi ajan tasalla pakettivaraston kautta. Let's Encrypt suosittelee ARI:a (ACME Renewal Information): sen avulla Let's Encrypt kertoo itse, milloin varmenne pitää uusia.

Oletko tehnyt oman skriptin tai cron-rivin, joka uusii varmenteen esimerkiksi 60 päivän välein? Se menee pieleen heti, kun varmenteet ovat lyhyemmän aikaa voimassa. Anna asiakasohjelman itse päättää, milloin on aika, ja anna sen tarkistaa tilanne vähintään kerran päivässä.

Hallinnoit VPS:ää ja kaikkea siinä toimivaa itse. Autamme WebOkén osuudessa: paneelissa, verkossa ja snapshoteissa.

Valvo vanhenemispäivää

Koska muistutussähköposteja ei enää tule, Let's Encrypt itse suosittelee valvomaan, onnistuuko uusiminen. Valvontapalvelu, joka lukee varmenteesi vanhenemispäivän ja varoittaa, kun jäljellä on alle 14 päivää, havaitsee hiljaa epäonnistuneen uusimisen ajoissa. Katso Verkkosivustosi valvonta: tavoitettavuus, varmenne ja verkkotunnus.

Lue lisää

• Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, englanniksi)
• Expiration Notification Service Has Ended (Let's Encrypt, englanniksi)

Haluatko oppia lisää? Käy ilmainen kurssi VPS ja Linux-palvelimen ylläpito, oppitunti 7.3 https Let's Encryptillä.