Kortare giltighetstid för TLS-certifikat: vad ett litet företag behöver kontrollera

TLS-certifikatet på din webbplats har ett slutdatum. Länge fick ett publikt betrott TLS-certifikat gälla i upp till 398 dagar. För företag som använde certifikat nära den gränsen var förnyelsen ofta en årlig, manuell uppgift. Andra utfärdare använde redan kortare giltighetstider.

Den gränsen har redan ändrats. Certifikat som utfärdats sedan 15 mars 2026 får gälla i högst 200 dagar, och ytterligare två steg är beslutade. Det är inget akut, men det ändrar i det tysta vad ”vi förnyar det varje år” betyder.

Vad som har ändrats, och när

Reglerna för publikt betrodda TLS-certifikat bestäms i CA/Browser Forum, där certifikatutfärdare och webbläsartillverkare kommer överens om kraven. I april 2025 antog forumet ett beslut (SC081v3) om kortare giltighetstider. Maxgränsen beror på när certifikatet utfärdas. Utfärdaren kan använda kortare giltighetstider; certifikat från en privat, intern certifikatutfärdare omfattas inte av den här planen:

• 1 september 2020–14 mars 2026: högst 398 dagar.
• Från 15 mars 2026: högst 200 dagar.
• Från 15 mars 2027: högst 100 dagar.
• Från 15 mars 2029: högst 47 dagar.

Gränsen gäller vid utfärdandet. Ett certifikat som utfärdades i februari 2026 behåller den giltighetstid det fick; det är ersättaren som omfattas av de nya reglerna.

Innan ett certifikat utfärdas måste certifikatutfärdaren kontrollera vem som har kontroll över domänen. Den kontrollen får återanvändas under en begränsad tid: högst 200 dagar nu, 100 dagar från den 15 mars 2027 och 10 dagar från den 15 mars 2029. Då behövs en ny domänkontroll vid många förnyelser. Den behövs inte vid varje förnyelse om en tidigare kontroll fortfarande får återanvändas.

Vad det betyder i praktiken

Förnyelsen blir en återkommande händelse snarare än en årlig. Eftersom ett certifikat måste bytas innan det går ut blir den lägsta takten ungefär två gånger om året i dag, ungefär fyra gånger om året från 2027 och minst åtta gånger om året från 2029.

Om ditt webbhotell, din webbplattform eller ditt CDN utfärdar och förnyar dina certifikat automatiskt kan förändringen bli liten för dig. Kontrollera att automatiken anpassar sig till certifikatets faktiska giltighetstid och inte använder ett fast förnyelseintervall. Många leverantörer använder ACME (RFC 8555), ett protokoll för automatisk certifikathantering.

Om en person förnyar ett certifikat genom att köpa det, ladda ned det och installera det på en server behöver en tidigare årlig uppgift nu göras oftare. När giltighetstiderna krymper blir manuell förnyelse mer arbetskrävande och ökar risken för missade förnyelser. Detsamma gäller överallt där du använder ett publikt betrott TLS-certifikat: en e-postserver, policyvärden för MTA-STS, ett internt verktyg som är nåbart från internet eller en underdomän som någon satte upp för flera år sedan.

Det finns också en tystare risk. Automatisk förnyelse fungerar bara så länge det den bygger på finns kvar. Om automatiken visar att du har kontroll över domänen med en DNS-post eller en fil på webbservern kan ett byte av DNS-leverantör eller en ombyggd webbplats få den att sluta fungera utan synliga tecken. Certifikatet fungerar ända tills den dag det inte gör det. Det är samma slags långsamma glidning som vi beskriver i artikeln om konfigurationsglidning: rätt när det sattes upp, tills något runt omkring ändrades.

Vad du kan kontrollera

1. Lista de värdnamn som har ett certifikat. Webbplatsen och dess www-variant, webbutiken, eventuella underdomäner och allt som rör e-posten, till exempel en policyvärd för MTA-STS.
2. Ta reda på vem som förnyar vart och ett. För varje värdnamn bör svaret vara ett system (”webbhotellet förnyar det”), inte en person eller en kalenderpåminnelse.
3. Flytta manuella förnyelser till automatik. Fråga din leverantör om automatiskt utfärdande finns. För en server du driver själv kan en ACME-klient begära och installera certifikat enligt ett schema.
4. Titta på det nuvarande certifikatets datum. Din webbläsare visar dem i webbplatsinformationen bredvid adressfältet. Ett certifikat som utfärdats från och med den 15 mars 2026 får gälla i högst 200 dagar, och många utfärdare använder kortare giltighetstider. Kontrollera det faktiska slutdatumet i stället för att utgå från att du har 200 dagar.
5. Håll koll på det som förnyelsen är beroende av. DNS-ändringar, flytt till ett nytt webbhotell och nya CAA-poster (som anger vilka certifikatutfärdare som får utfärda certifikat för din domän) kan alla stoppa en förnyelse som tidigare fungerade.

Kontrollera redan nu att nästa förnyelse fungerar och sker före slutdatumet. Nästa sänkning av maxgränsen gäller certifikat som utfärdas från den 15 mars 2027, så det finns tid att ersätta manuella förnyelser med automatik.

Var Merula kommer in

Merula kontrollerar HTTPS-certifikatet på det övervakade domännamnet enligt schema. Kontrollen visar en varning när 30 eller färre beräknade dagar återstår och ett kritiskt fynd när certifikatet har gått ut. Den kan också flagga möjliga konflikter mellan publicerade CAA-poster och en certifikatutfärdare som Merula känner igen. Det visar en risk inför förnyelsen, inte ett säkert besked om nästa utfärdande. Merula hittar inte automatiskt alla underdomäner och förnyar inte certifikat åt dig.

Källa: CA/Browser Forum, Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates (på engelska) ↗, version 2.3.0 (september 2026), avsnitt 4.2.1 och 6.3.2; beslut SC081, antaget 11 april 2025. Se även beslut SC081v3 ↗och Let’s Encrypts vägledning om kortare giltighetstider och automatisk förnyelse ↗ (på engelska).