47-Tage-Zertifikate: was sich 2026, 2027 und 2029 ändert und wie viele Erneuerungen das bedeutet
Die kurze Antwort
Der Ballot SC-081v3 des CA/Browser Forum verkürzt, wie lange ein öffentliches TLS-Zertifikat gültig sein darf: 200 Tage ab dem 15. März 2026, 100 Tage ab dem 15. März 2027 und 47 Tage ab dem 15. März 2029. Ab 2029 darf eine CA eine Domainvalidierung nur noch 10 Tage lang wiederverwenden, daher muss die Erneuerung ohne einen Menschen laufen, einschließlich der Validierung.
Ihr Erneuerungsaufwand
Jedes Zertifikat wird heute etwa 2-mal im Jahr erneuert, ab März 2027 4-mal und ab März 2029 8-mal. Nichts, was Sie hier eingeben, verlässt Ihren Browser.
| Zeitraum | Maximale Laufzeit | Erneuerungen pro Jahr | Stunden pro Jahr |
|---|---|---|---|
| Heute | 200 Tage | 40 | 20 |
| Ab 15. März 2027 | 100 Tage | 80 | 40 |
| Ab 15. März 2029 | 47 Tage | 160 | 80 |
Die Zahlen folgen Ihrer Eingabe. Mit automatisierter Erneuerung ist die manuelle Anzahl null; übrig bleibt die Kontrolle, dass jede Erneuerung stattgefunden hat.
Was ausfällt und wer es bemerkt
- Manuelle Erneuerungen vervielfachen sich. Heute etwa 2 pro Jahr und Zertifikat, ab März 2027 4 und ab März 2029 8. Eine Kalendererinnerung pro Zertifikat ist dann kein Plan mehr.
- Nach einer fehlgeschlagenen Erneuerung bleibt weniger Zeit bis zum Ablauf. Eine Automatisierung, die Wochen vorher mit der Erneuerung beginnt, funktioniert weiterhin; wer in der letzten Woche erneuert, hat nur halb so viele Wochen, um ein Problem zu bemerken.
- Auch die Domainvalidierung muss automatisch laufen. Ab dem 15. März 2029 darf eine CA eine Domainvalidierung nur noch 10 Tage lang wiederverwenden, daher bedeutet fast jede Erneuerung eine neue DNS- oder HTTP-Prüfung, die niemand von Hand eintippt.
- Von Hand installierte Zertifikate sind die, die ablaufen. Appliances, Load Balancer, Mailserver und alte Hosting-Panels sind die Stellen, an denen Erneuerungen verpasst werden, weil sie nichts von selbst erneuert.
- Ihre private CA ist nicht betroffen. SC-081v3 legt die Regeln für öffentlich vertrauenswürdige TLS-Zertifikate fest. Zertifikate einer CA, die Sie selbst betreiben, folgen Ihrer eigenen Richtlinie.
Sehen Sie Ihre Zertifikate von außen
Die kostenlose Domain-Prüfung liest das Zertifikat, das Ihre Website ausliefert, wer es ausgestellt hat und wie viele Tage es noch gültig ist.
Kostenlos, ohne Konto. Wir lesen nur öffentliches DNS und das, was Ihre Server jedem zeigen, der sich verbindet.
Schritt für Schritt beheben
Jedes öffentliche Zertifikat finden
Certificate-Transparency-Logs führen jedes öffentliche Zertifikat auf, das auf Ihre Namen ausgestellt wurde. Ein Scan Ihrer Hosts zeigt, welcher Listener welches ausliefert und wann jedes abläuft.
Herausfinden, wer jedes einzelne erneuert
Ein CDN, ein Hosting-Panel, ein ACME-Client auf dem Server oder ein Mensch. Notieren Sie die Antwort neben jedem Zertifikat; die mit dem Namen einer Person sind Ihre Liste.
Erneuerung mit ACME automatisieren
ACME (RFC 8555) erneuert und installiert das Zertifikat auf dem Server selbst, Wochen vor dem Ablauf, und wiederholt Fehlversuche von selbst. Die meisten öffentlichen CAs unterstützen es.
Domainvalidierung automatisieren
Nutzen Sie DNS-01 über die API Ihres DNS-Anbieters oder HTTP-01 auf dem Server, damit die 10-Tage-Grenze für die Wiederverwendung ab 2029 niemanden zum Handeln zwingt.
Prüfen, ob CAA die CA Ihrer Automatisierung zulässt
Ein CAA-Eintrag, der eine andere CA nennt, lässt jede automatische Erneuerung scheitern. Unser CAA-Leitfaden zeigt, wie Sie das finden und beheben.
Auf Erneuerungen achten, die nicht stattgefunden haben
Alarmieren Sie anhand der verbleibenden Tage, nicht anhand eines Erneuerungsdatums im Kalender. Ein erneuertes Zertifikat, das nie installiert wurde, zeigt von außen weiterhin das alte Ablaufdatum.
Häufige Fehler
Nur die gekauften Zertifikate zählen
CDNs, Hosting-Panels und SaaS-Tools stellen ebenfalls Zertifikate auf Ihre Namen aus. Sie zählen, wenn eines davon abläuft.
Im Ergebnis von SkyQon: Die Zertifikatskarte zeigt den Aussteller und die verbleibenden Tage für Ihre Website; bei einer überwachten Domain führt Certificate Transparency jedes auf Ihre Namen ausgestellte Zertifikat auf.
Die Erneuerung automatisieren, aber nicht die Installation
Das neue Zertifikat liegt auf der Festplatte, während der Server weiter das alte ausliefert.
Im Ergebnis von SkyQon: Wir lesen das Zertifikat, das ein Listener tatsächlich ausliefert, daher zeigt eine nie installierte Erneuerung weiterhin das alte Ablaufdatum.
Einen manuellen Schritt in der Validierung lassen
Ein DNS-Eintrag, der bei jeder Erneuerung von Hand eingetippt wird, funktioniert zweimal im Jahr. Achtmal im Jahr mit einer 10-Tage-Grenze für die Wiederverwendung funktioniert er nicht.
Im Ergebnis von SkyQon: Wir können nicht sehen, wie Sie validieren. Eine Erneuerung, die ausbleibt, zeigt sich daran, dass die verbleibenden Tage unter Ihre Alarmschwelle fallen.
CAA beim CA-Wechsel vergessen
Der Wechsel zu einer neuen CA oder zu einer ACME-CA scheitert bei der ersten Erneuerung, wenn Ihr CAA-Eintrag weiterhin nur die alte nennt.
Im Ergebnis von SkyQon: CAA-Befunde stehen in derselben Prüfung neben dem Zertifikat.
Was SkyQon tut und was nicht
Was es findet
Jedes Zertifikat, das Ihre öffentlichen Hosts ausliefern, mit Aussteller und Ablaufdatum, und bei einer überwachten Domain jedes auf Ihre Namen ausgestellte Zertifikat in Certificate-Transparency-Logs.
Was Sie bekommen
Ablaufwarnungen, lange bevor es zu spät ist, und mit dem Add-on Auto-Renew (ab Pro) die Erneuerung über ACME auf Ihrem eigenen Server.
Was es nicht ist
Wir verwahren Ihre privaten Schlüssel nicht und erneuern keine Zertifikate von unserer Seite aus: Auto-Renew läuft auf Ihrem Server, mit Ihrer Zustimmung.
Kürzere Zertifikatslaufzeiten: häufige Fragen
Wann beginnt die 100-Tage-Grenze?
Gilt das für meine interne oder private CA?
Gilt es für Code-Signing- oder E-Mail-Zertifikate (S/MIME)?
Kann ich noch ein Zertifikat für ein Jahr kaufen?
Was bedeutet die 10-tägige Wiederverwendung der Validierung?
Wie viele Erneuerungen pro Jahr sind das?
Ist ACME der einzige Weg zur Automatisierung?
Was tut SkyQon dagegen?
Sehen Sie, welche Ihrer Dienste keine automatisierte Erneuerung haben.
Die kostenlose Prüfung liest das Zertifikat, das jeder Listener ausliefert, wer es ausgestellt hat und wann es abläuft. Fügen Sie die Domain dem Free-Plan hinzu, und SkyQon warnt Sie, bevor eines davon abläuft.