Kürzere Laufzeiten von Let's Encrypt-Zertifikaten: Was bedeutet das für Sie?
Let's Encrypt ist die kostenlose Zertifizierungsstelle, deren Zertifikate die meisten Websites verwenden, auch bei WebOké. Ein Zertifikat von Let's Encrypt ist derzeit 90 Tage gültig. Diese Laufzeit wird kürzer, und Let's Encrypt verschickt bereits keine Erinnerungsmails mehr, wenn ein Zertifikat bald abläuft. Hier erfahren Sie, was sich ändert und was Sie tun müssen.
Was sich ändert
| Datum | Was |
|---|---|
| 4 juni 2025 | Let's Encrypt stellt die E-Mails zu ablaufenden Zertifikaten ein. |
| 13 mei 2026 | Wer sich selbst dafür entscheidet (das Profil tlsserver), erhält Zertifikate mit 45 Tagen Laufzeit. |
| 10 februari 2027 | Das Standardprofil stellt Zertifikate mit 64 Tagen Laufzeit aus. |
| 16 februari 2028 | Das Standardprofil stellt Zertifikate mit 45 Tagen Laufzeit aus. |
Auch eine erfolgreiche Prüfung Ihres Domainnamens wird kürzer gespeichert: ab Februar 2027 zehn Tage, ab Februar 2028 nur noch sieben Stunden. Das bemerken Sie vor allem, wenn Sie ein Zertifikat manuell über einen DNS-Eintrag beantragen: Diesen Schritt müssen Sie dann häufiger wiederholen.
Let's Encrypt folgt damit den Regeln des CA/Browser Forum, die für alle Zertifizierungsstellen gelten. Ein kürzer gültiges Zertifikat begrenzt den Schaden, wenn etwas schiefgeht, etwa bei einem kompromittierten Schlüssel. Die Folge für Sie: Manuelles Erneuern ist keine Option mehr. Es muss automatisch geschehen, und Sie müssen selbst im Blick behalten, dass das auch gelingt.
Auf Ihrem Hostingpaket: nichts zu tun
Bei einem Hostingpaket beantragt DirectAdmin das Zertifikat und verlängert es automatisch. Dafür müssen Sie nichts ändern. Ihre Domain muss jedoch weiterhin auf unseren Server zeigen, denn Let's Encrypt prüft bei der Verlängerung erneut, ob das der Fall ist. Siehe SSL-Zertifikat aktivieren, erneuern und Probleme beheben.
Bis wann Ihr Zertifikat gültig ist, sehen Sie mit Domain-Gesundheit. Läuft es innerhalb von 14 Tagen ab, meldet das Tool, dass die Erneuerung im Rückstand ist. Prüfen Sie dann in DirectAdmin unter SSL-Zertifikate, ob dort fehlgeschlagene Prüfungen aufgeführt sind.
Verwenden Sie ein Zertifikat auch außerhalb Ihres Pakets, zum Beispiel weil Sie es manuell auf ein anderes Gerät oder in einen anderen Dienst kopieren? Dann müssen Sie das künftig alle paar Wochen tun. Lassen Sie dieses Gerät oder diesen Dienst besser selbst ein Zertifikat beantragen.
Auf einem VPS: selbst einrichten und kontrollieren
Auf einem VPS kümmern Sie sich selbst um die Erneuerung, mit certbot, Caddy oder dem ACME-Client Ihrer Software. Siehe nginx mit einem Zertifikat von Let's Encrypt und Caddy: eine Website mit automatischem https. Prüfen Sie mit certbot Folgendes:
- Prüfen Sie, ob der Timer für die Erneuerung existiert und läuft:
systemctl list-timers 'certbot*'
- Führen Sie eine Testerneuerung durch. Dabei wird kein echtes Zertifikat beantragt:
sudo certbot renew --dry-run
Endet diese mit der Meldung, dass alle Simulationen erfolgreich waren, funktioniert die Erneuerung. - Lädt Ihr Webserver das neue Zertifikat auch? Mit dem Plug-in für nginx regelt certbot das selbst. Verwenden Sie
certbot certonly, richten Sie einen Deploy Hook ein, der Ihren Webserver neu lädt. - Halten Sie Ihren ACME-Client über die Paketquelle aktuell. Let's Encrypt empfiehlt ARI (ACME Renewal Information): Damit teilt Let's Encrypt selbst mit, wann ein Zertifikat erneuert werden muss.
Haben Sie ein eigenes Skript oder einen Cron-Eintrag erstellt, der zum Beispiel alle 60 Tage erneuert? Das geht schief, sobald Zertifikate kürzer gültig sind. Lassen Sie den Client selbst bestimmen, wann es Zeit ist, und lassen Sie ihn mindestens täglich prüfen.
Den VPS und alles, was darauf läuft, verwalten Sie selbst. Wir helfen beim WebOké-Teil: dem Panel, dem Netzwerk und Snapshots.
Überwachen Sie das Ablaufdatum
Da keine Erinnerungsmails mehr kommen, empfiehlt Let's Encrypt selbst, zu überwachen, ob die Erneuerung gelingt. Ein Überwachungsdienst, der das Ablaufdatum Ihres Zertifikats ausliest und bei weniger als 14 Tagen warnt, erkennt eine unbemerkt fehlgeschlagene Erneuerung rechtzeitig. Siehe Ihre Website überwachen lassen: Erreichbarkeit, Zertifikat und Domain.
Weiterlesen
- Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, Englisch)
- Expiration Notification Service Has Ended (Let's Encrypt, Englisch)
Möchten Sie mehr lernen? Besuchen Sie den kostenlosen Kurs VPS und Linux-Serververwaltung, Lektion 7.3 https mit Let's Encrypt.