SSL-certificaat verlengen: automatisch en betaald

SSL-certificaat verlengen: stel automatische verlenging met Let's Encrypt in, verleng een betaald certificaat stap voor stap en plan voor kortere looptijden.

Veelgestelde vragen

Hoe verleng ik een Let's Encrypt-certificaat?

Voer `sudo certbot renew` uit. Het verlengt alleen certificaten die bijna verlopen, dus je kunt het veilig volgens een schema laten draaien. De meeste Certbot-installaties hebben al een geplande taak die dit doet, en met `sudo certbot renew --dry-run` test je het proces op de staging-server van Let's Encrypt, zonder dat de testcertificaten worden opgeslagen.

Hoe lang is een SSL-certificaat geldig in 2026?

Volgens CA/Browser Forum-ballot SC-081v3 was de maximale looptijd van publiek vertrouwde certificaten tot 15 maart 2026 begrensd op 398 dagen. Sinds die datum is het maximum 200 dagen. Op 15 maart 2027 daalt het naar 100 dagen en op 15 maart 2029 naar 47 dagen. Sommige certificeringsinstanties geven certificaten uit met een iets kortere looptijd dan het maximum, en Let's Encrypt hanteert een eigen, korter schema.

Wat gebeurt er als mijn SSL-certificaat verloopt?

Browsers tonen bezoekers een beveiligingswaarschuwing over het hele scherm en veel browsers weigeren door te gaan zonder handmatige bevestiging. API-clients en betaal- of inlogkoppelingen die certificaten strikt controleren, kunnen helemaal uitvallen. Een nieuw certificaat verlengen en installeren lost het op, en bezoekers hoeven niets te doen zodra het nieuwe certificaat live staat.

Is verlengen hetzelfde als een nieuw certificaat kopen?

Bij de meeste betaalde certificaten is een verlenging een nieuw certificaat voor hetzelfde domein, meestal met een nieuwe validatie en een nieuwe of hergebruikte CSR. Sommige aanbieders geven korting op verlengingen of bundelen ze, andere behandelen ze als een gewone aankoop. Bekijk het verlengingsbeleid van je aanbieder in plaats van aan te nemen dat er korting geldt.

Waarom werkt de automatische verlenging van Let's Encrypt niet meer?

Veelvoorkomende oorzaken zijn een verwijderde of uitgeschakelde timer of cronjob, een webserver die het HTTP-validatieverzoek op poort 80 niet meer beantwoordt, een DNS-wijziging, of een certificaat dat met de manual-optie is aangemaakt zonder authenticatie-hook. Wildcardcertificaten hebben een DNS-plugin nodig om automatisch te verlengen. Voer `sudo certbot renew --dry-run` uit en lees de foutmelding die het toont.

Kort antwoord: Komt je certificaat van Let's Encrypt, voer dan sudo certbot renew uit (of laat de geplande taak die je Certbot-installatie al heeft aangemaakt het doen). Heb je het gekocht bij een certificeringsinstantie of reseller, verleng het dan in het dashboard van die leverancier, valideer het domein opnieuw en installeer de nieuwe certificaatbestanden op je server of bij je host. Controleer daarna in een browser de nieuwe vervaldatum. De maximale looptijd van certificaten wordt bovendien steeds korter, dus hoe eerder je automatiseert, hoe minder vaak je dit met de hand moet doen.

Eerst: zoek uit wanneer en waar je certificaat verloopt

Bevestig eerst wat je precies hebt voordat je iets verlengt.

  1. Open je site in Chrome, klik op het slotje of het site-informatie-icoon, open de certificaatdetails en noteer de datum bij "Geldig tot" en de uitgever.
  2. Of controleer het vanuit een terminal: echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer
  3. Is de uitgever Let's Encrypt, volg dan het gedeelte over automatisch verlengen hieronder. Is het een andere instantie, dan heb je waarschijnlijk een betaald certificaat en heb je de stappen voor betaalde verlenging nodig.
  4. Draait je site bij een beheerde host of op een websitebouwer, dan regelt het platform de verlenging meestal zelf. Zoek naar een SSL- of domeinbeveiligingsinstelling voordat je aan bestanden gaat zitten.

Weet je niet welk type je hebt? De gids over typen SSL-certificaten legt domein-, organisatie- en extended validation uit, en het woordenlijstitem wat is een SSL-certificaat behandelt de basis.

Welke verlengroute past bij jou

Jouw situatieWat te doenInspanning
Let's Encrypt via Certbot op je eigen serverControleer of de geplande certbot renew-taak draait en test met --dry-runLaag, vooral eenmalig
Certificaat van een betaalde certificeringsinstantie of resellerVerleng in het dashboard van de leverancier, valideer en installeer de nieuwe bestandenHandmatig, bij elke looptijd opnieuw
Beheerde host of websitebouwer met ingebouwde SSLControleer de SSL-instelling; verlenging gaat normaal automatischMinimaal
Certificaat achter een CDN of load balancerVerleng bij de CDN of load balancer, niet op de oorspronkelijke serverHangt af van de opzet

Een Let's Encrypt-certificaat verlengen (automatisch)

Let's Encrypt-certificaten zijn bedoeld om door software te worden verlengd. In de eigen documentatie van Certbot staat dat de meeste installaties met vooraf ingestelde automatische verlenging komen, via een geplande taak die periodiek certbot renew uitvoert.

Stap voor stap

  1. Controleer of de geplande taak bestaat. Voer op systemd-machines systemctl list-timers uit en zoek naar een Certbot-timer. Kijk op andere systemen in de crontab. De documentatie van Certbot beschrijft beide plekken.
  2. Voer een dry run uit. sudo certbot renew --dry-run test de verlenging op de staging-server van Let's Encrypt. Het haalt testcertificaten op maar slaat ze niet op schijf op, dus het is veilig op een live site.
  3. Los op wat er gemeld wordt. Typische fouten zijn een firewall die poort 80 blokkeert, een webserverconfiguratie die het validatiepad niet meer aanbiedt, of DNS dat naar een andere plek wijst.
  4. Verleng nu als dat nodig is. sudo certbot renew raakt alleen certificaten aan die bijna verlopen, dus herhaald uitvoeren is onschadelijk.
  5. Laad de webserver opnieuw na de verlenging als je opzet dat niet automatisch doet. Certbot ondersteunt deploy-hooks die alleen draaien wanneer een certificaat daadwerkelijk is verlengd.
  6. Controleer de nieuwe vervaldatum met de browser of het openssl-commando hierboven.

Situaties waarin automatisch verlengen niet vanzelf werkt

  • Certificaten die met de --manual-optie van Certbot zijn aangemaakt, worden niet automatisch verlengd, tenzij je ze koppelt aan een authenticatie-hookscript.
  • Wildcardcertificaten vereisen DNS-validatie, dus je hebt een DNS-plugin voor je DNS-aanbieder nodig als je wilt dat ze zonder toezicht verlengen.
  • Servers die zijn gemigreerd, opnieuw opgebouwd of gekloond, verliezen vaak de timer of cron-regel, ook al zijn de certificaatbestanden meegekomen.

Verleng volgens een schema dat kortere looptijden overleeft

Let's Encrypt heeft aangekondigd dat het zijn standaard "classic"-profiel op 10 februari 2027 overzet op certificaten van 64 dagen, en op 16 februari 2028 op certificaten van 45 dagen. Volgens hun advies moeten clients die geen gebruik maken van ACME Renewal Information (ARI) niet verlengen volgens een vast ingebakken schema, en zal verlengen met een vast interval van 60 dagen niet meer volstaan. Het renew-commando van Certbot beslist op basis van de resterende looptijd, en dat is het veiligere patroon. Houd Certbot up-to-date en verpak het niet in een eigen script met een vast interval. Details staan in de aankondiging van Let's Encrypt over looptijden.

Een betaald SSL-certificaat verlengen

Betaalde certificaten verlengen zichzelf niet, tenzij je leverancier of host automatische verlenging heeft ingesteld. De namen van knoppen en menu's verschillen per leverancier, dus zie dit als de algemene volgorde van handelingen en raadpleeg de documentatie van je aanbieder voor de exacte schermen.

  1. Start de verlenging in je leveranciersaccount. Zoek het certificaat dat bijna verloopt en kies verlengen, opnieuw uitgeven of opnieuw bestellen.
  2. Genereer een CSR. Veel servers en controlepanelen kunnen een certificate signing request aanmaken. Sommige leveranciers laten je de oude CSR hergebruiken, maar een nieuw sleutelpaar genereren is over het algemeen een betere gewoonte.
  3. Voltooi de domeinvalidatie. Meestal moet je bewijzen dat je het domein beheert via een e-mail naar een goedgekeurd adres, een DNS-record of een bestand op je site. Bij organisatie- en extended validation-certificaten kunnen ook documentcontroles nodig zijn, dus begin daar eerder mee.
  4. Download de uitgegeven bestanden. Je krijgt doorgaans het certificaat plus een bundel met tussencertificaten (keten).
  5. Installeer ze op je server, host of CDN en start de webserver daarna opnieuw op of laad hem opnieuw.
  6. Test. Laad de site in een nieuw browservenster, controleer de vervaldatum en zorg dat er geen waarschuwingen over een onvolledige keten of mixed content verschijnen.
  7. Werk je herinneringen bij en zet de automatische verlenging van het oude certificaat uit als je van aanbieder bent gewisseld.

Vergelijk je leveranciers of vraag je je af wat een verlenging hoort te kosten, bekijk dan de gids over de kosten van een SSL-certificaat. Ook domeinregistratie wordt apart verlengd, wat wordt behandeld in de gids over de kosten van domeinverlenging.

Looptijden van certificaten worden korter (gecontroleerd in november 2026)

Het CA/Browser Forum keurde in april 2025 ballot SC-081v3 goed. Daarmee wordt de maximale looptijd van publiek vertrouwde TLS-certificaten stapsgewijs verlaagd:

Uitgegeven op of naMaximale geldigheid
Vóór 15 maart 2026398 dagen
15 maart 2026200 dagen
15 maart 2027100 dagen
15 maart 202947 dagen

In de praktijk betekent dit dat alles wat je handmatig verlengt nu ongeveer twee keer per jaar aandacht nodig heeft, vanaf maart 2027 ongeveer vier keer per jaar en in 2029 ongeveer acht keer per jaar. Ook de periodes waarin een eerdere domeinvalidatie hergebruikt mag worden worden korter, dus je kunt niet meer op een oude validatie terugvallen om een stap over te slaan. De limieten gelden voor publiek vertrouwde certificaten, dus private of interne certificeringsinstanties volgen hun eigen regels.

Verleng je nog handmatig, dan zijn de realistische opties: overstappen naar een certificeringsinstantie of host die geautomatiseerde uitgifte (ACME) ondersteunt, of een beheerde laag zoals je host of een CDN voor de site zetten.

Checklist voor SSL-verlenging

Kopieer dit naar het takenoverzicht van je team:

`` [ ] List every certificate: domain, issuer, expiry date, where it is installed [ ] Note who owns each renewal (name, not a team alias) [ ] Set reminders at 30 and 14 days before expiry [ ] Let's Encrypt: confirm the Certbot timer or cron job exists [ ] Let's Encrypt: run certbot renew --dry-run and resolve errors [ ] Wildcards: confirm a DNS plugin or hook is configured [ ] Paid certs: confirm the validation contact email or DNS access still works [ ] Generate a new CSR and key if the vendor requires or recommends it [ ] Install the certificate AND the intermediate chain [ ] Reload the web server, CDN or load balancer [ ] Test the site in a fresh browser and check the new expiry date [ ] Test subdomains, www and non-www, and any API endpoints [ ] Remove expired certificates and retire old reminders [ ] Plan for 200 days now, 100 days from March 15, 2027 ``

Veelgemaakte fouten bij verlengen

  • De verkeerde laag verlengen. Als een CDN of load balancer TLS afhandelt, verandert het verlengen van het certificaat op de oorspronkelijke server niets aan wat bezoekers zien.
  • De keten vergeten. Alleen het eindcertificaat installeren kan in de ene browser werken en in een andere browser of API-client falen.
  • De server niet opnieuw laden. De nieuwe bestanden kunnen op schijf staan terwijl nog steeds het oude certificaat wordt aangeboden.
  • Validatie-e-mail die naar een voormalige medewerker gaat. Zorg dat het contactadres wordt gemonitord.
  • Vertrouwen op één herinnering. Agenda-meldingen worden weggeklikt. Automatisering plus een externe monitor voor vervaldata is robuuster.

Als je nog kiest waar je host

Hosting waarbij SSL-verlenging inbegrepen is, neemt deze hele klus uit handen. Met het gratis abonnement van We.Inc publiceer je tot drie sites vanuit kant-en-klare templates, zoals Nora Kessler Studio of Greenfield Renewables; de AI-bouwer die op basis van een prompt een site opzet, begint bij het Starter-abonnement voor $20 per maand. Je kunt je hier aanmelden.

Veelgestelde vragen

Hoe verleng ik een Let's Encrypt-certificaat?

Voer sudo certbot renew uit. Het verlengt alleen certificaten die bijna verlopen, dus je kunt het veilig inplannen. De meeste Certbot-installaties bevatten al een geplande taak, en met sudo certbot renew --dry-run test je het zonder certificaten op te slaan.

Hoe lang is een SSL-certificaat geldig in 2026?

Het maximum was 398 dagen tot 15 maart 2026 en is nu 200 dagen. Het wordt 100 dagen op 15 maart 2027 en 47 dagen op 15 maart 2029. Sommige instanties geven certificaten uit met een iets kortere looptijd dan het maximum.

Wat gebeurt er als mijn SSL-certificaat verloopt?

Browsers tonen een beveiligingswaarschuwing over het hele scherm en strikte API-clients kunnen uitvallen. Een verlengd certificaat installeren lost het voor bezoekers op, zonder dat zij iets hoeven te doen.

Is verlengen hetzelfde als een nieuw certificaat kopen?

Meestal is een verlenging een nieuw uitgegeven certificaat voor hetzelfde domein, met een nieuwe validatie. Prijzen en kortingen verschillen per leverancier, dus controleer die van jou.

Waarom werkt de automatische verlenging van Let's Encrypt niet meer?

Controleer op een ontbrekende timer of cron-regel, geblokkeerde poort 80, DNS-wijzigingen, certificaten in manual-modus zonder hook, of een wildcard zonder DNS-plugin. certbot renew --dry-run toont de specifieke fout.

Gratis beginnen · Geen creditcard nodig

Umair Ali Sadaqat

Oprichter van We.Inc

Umair is de oprichter van We.Inc. Hij schrijft over websites bouwen met AI, bureaus en de bedrijfsvoering van een webstudio.

Klaar om iets moois te bouwen?

Sluit je aan bij 15,000+ bedrijven die We.Inc gebruiken om te lanceren, te groeien en te automatiseren, allemaal vanuit één platform.

Gratis aan de slag

Geen creditcard nodig · Praat met sales

Gerelateerd: Blog

Product

Voor wie

Functies

Bronnen

Bedrijf

Sitemap