Certyfikat SSL wygasł: co zrobić teraz i jak tego uniknąć
Przeglądarka pokazuje klientom ostrzeżenie zamiast Twojej strony, bo certyfikat SSL (dokładniej TLS) stracił ważność. Naprawa zwykle zajmuje kilka minut. Ważniejsze jest ustalenie, dlaczego automatyczne odnowienie nie zadziałało, bo certyfikaty będą ważne coraz krócej.
Co widzą klienci
Chrome pokazuje komunikat "Twoje połączenie nie jest prywatne" z kodem NET::ERR_CERT_DATE_INVALID, a Firefox i Safari podobne ostrzeżenia. Większość odwiedzających w tym miejscu odchodzi. Jeśli strona ma włączony HSTS, przeglądarka, która go już zna, nie pozwoli nawet ominąć ostrzeżenia. Przestają też działać integracje, które łączą się z Twoim serwerem: płatności, API, aplikacje mobilne.
Co zrobić teraz
- Ustal, kto wystawia certyfikat: hosting (panel klienta), Cloudflare albo inny CDN, czy Twój serwer z Let's Encrypt. Zrób darmowy audyt: pokażemy wystawcę i termin certyfikatu. Dane certyfikatu pokazuje też przeglądarka po kliknięciu ikony po lewej stronie adresu.
- Na hostingu odnów albo włącz ponownie darmowy certyfikat w panelu. Przy płatnym certyfikacie zamów odnowienie u sprzedawcy.
- Na własnym serwerze z Let's Encrypt uruchom odnowienie (np.
certbot renew) i przeładuj serwer WWW. Jeśli odnowienie się nie udaje, komunikat błędu zwykle wskazuje przyczynę z listy niżej. - Po odnowieniu sprawdź stronę w trybie prywatnym i upewnij się, że serwer wysyła pełny łańcuch certyfikatów, nie tylko certyfikat domeny.
Dlaczego automatyczne odnowienie zawiodło
- Zmiana DNS albo przeniesienie strony za CDN. Weryfikacja domeny trafia na inny serwer niż ten, który próbuje odnowić certyfikat.
- Zamknięty port 80, przekierowanie na inny serwer albo reguła zapory lub WAF blokuje ścieżkę /.well-known/acme-challenge/. Weryfikacja HTTP-01, której używa Let's Encrypt, działa tylko przez port 80.
- Zadanie odnawiające nie działa: wyłączony timer, cron po aktualizacji systemu, wygasły klucz API do DNS.
- Certyfikat odnowił się, ale serwer WWW nie został przeładowany i dalej używa starego.
- Inny serwer, ta sama domena: poczta, panel albo subdomena mają osobny certyfikat, o którym nikt nie pamiętał.
Certyfikaty będą ważne coraz krócej
CA/Browser Forum, czyli organizacja urzędów certyfikacji i producentów przeglądarek, skraca maksymalną ważność publicznych certyfikatów: wystawiane od 15 marca 2026 r. są ważne najwyżej 200 dni, od 15 marca 2027 r. 100 dni, a od 15 marca 2029 r. 47 dni. Ręczne odnawianie raz w roku przestaje być możliwe, więc odnowienie musi działać samo, a ktoś albo coś musi pilnować terminu. Let's Encrypt od 4 czerwca 2025 r. nie wysyła już e-maili z przypomnieniem o wygaśnięciu.
Darmowy audyt sprawdza termin certyfikatu strony i serwera pocztowego. Abonament Strażnik (w przygotowaniu) będzie pilnował go codziennie i wyśle alarm przed wygaśnięciem.