Odnowienie certyfikatu SSL: automatyczne i płatne

Jak odnowić certyfikat SSL: automatyczne odnawianie Let's Encrypt, odnowienie płatnego certyfikatu krok po kroku i plan na krótszy okres ważności certyfikatów.

Najczęściej zadawane pytania

Jak odnowić certyfikat Let's Encrypt?

Uruchom `sudo certbot renew`. Polecenie odnawia tylko certyfikaty bliskie wygaśnięcia, więc można je bezpiecznie uruchamiać według harmonogramu. Większość instalacji Certbota ma już zaplanowane zadanie, które to robi, a `sudo certbot renew --dry-run` testuje cały proces na serwerze testowym (staging) Let's Encrypt, bez zapisywania certyfikatów testowych.

Jak długo ważny jest certyfikat SSL w 2026 roku?

Zgodnie z uchwałą CA/Browser Forum SC-081v3 publicznie zaufane certyfikaty mogły być ważne maksymalnie 398 dni do 15 marca 2026 roku. Od tej daty limit wynosi 200 dni. Spadnie do 100 dni 15 marca 2027 roku i do 47 dni 15 marca 2029 roku. Niektóre urzędy certyfikacji wystawiają certyfikaty na nieco krócej niż limit, a Let's Encrypt ma własny, krótszy harmonogram.

Co się stanie, jeśli mój certyfikat SSL wygaśnie?

Przeglądarki wyświetlają odwiedzającym pełnoekranowe ostrzeżenie o bezpieczeństwie, a wiele z nich nie pozwoli kontynuować bez ręcznego potwierdzenia. Klienci API oraz integracje płatności lub logowania, które rygorystycznie sprawdzają certyfikaty, mogą przestać działać całkowicie. Problem rozwiązuje odnowienie i zainstalowanie nowego certyfikatu, a odwiedzający nie muszą nic robić po jego uruchomieniu.

Czy odnowienie to to samo, co zakup nowego certyfikatu?

W przypadku większości płatnych certyfikatów odnowienie to nowy certyfikat wystawiony dla tej samej domeny, zwykle z ponowną weryfikacją i nowym lub ponownie użytym CSR. Niektórzy dostawcy dają zniżki na odnowienia lub dołączają je do pakietów, inni traktują je jak zwykły zakup. Sprawdź politykę odnowień swojego dostawcy, zamiast zakładać, że zniżka obowiązuje.

Dlaczego automatyczne odnawianie Let's Encrypt przestało działać?

Najczęstsze przyczyny to usunięty lub wyłączony timer albo zadanie cron, serwer WWW, który nie odpowiada już na żądanie weryfikacji HTTP na porcie 80, zmiana w DNS albo certyfikat utworzony z opcją manual bez skryptu uwierzytelniającego (hook). Certyfikaty wildcard wymagają wtyczki DNS, aby odnawiać się automatycznie. Uruchom `sudo certbot renew --dry-run` i przeczytaj wyświetlony błąd.

Krótka odpowiedź: Jeśli certyfikat pochodzi z Let's Encrypt, uruchom sudo certbot renew (albo pozwól to zrobić zaplanowanemu zadaniu, które Twoja instalacja Certbota już utworzyła). Jeśli kupiłeś go u urzędu certyfikacji lub reselera, odnów go w panelu dostawcy, ponownie zweryfikuj domenę i zainstaluj nowe pliki certyfikatu na serwerze lub w hostingu. Następnie sprawdź w przeglądarce nową datę wygaśnięcia. Maksymalny okres ważności certyfikatów się skraca, więc im szybciej zautomatyzujesz ten proces, tym rzadziej będziesz musieć robić to ręcznie.

Najpierw sprawdź, kiedy i gdzie wygasa Twój certyfikat

Zanim cokolwiek odnowisz, upewnij się, co faktycznie masz.

  1. Otwórz stronę w Chrome, kliknij ikonę kłódki lub informacji o witrynie, a potem otwórz szczegóły certyfikatu i zapisz datę "Valid to" (ważny do) oraz wystawcę.
  2. Możesz też sprawdzić to w terminalu: echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer
  3. Jeśli wystawcą jest Let's Encrypt, przejdź do sekcji o automatycznym odnawianiu poniżej. Jeśli to inny urząd certyfikacji, prawdopodobnie masz certyfikat płatny i potrzebujesz kroków odnowienia płatnego certyfikatu.
  4. Jeśli Twoja strona działa na zarządzanym hostingu lub w kreatorze stron, platforma zwykle sama odnawia certyfikaty. Zanim zaczniesz grzebać w plikach, poszukaj ustawienia SSL lub bezpieczeństwa domeny.

Nie wiesz, jaki typ certyfikatu masz? Przewodnik po typach certyfikatów SSL wyjaśnia certyfikaty domenowe, organizacyjne i z rozszerzoną walidacją, a hasło czym jest certyfikat SSL w słowniku omawia podstawy.

Która ścieżka odnowienia pasuje do Ciebie

Twoja sytuacjaCo zrobićNakład pracy
Let's Encrypt przez Certbota na własnym serwerzeSprawdź, czy zaplanowane zadanie certbot renew działa, a potem przetestuj z --dry-runNiski, głównie jednorazowo
Certyfikat od płatnego urzędu certyfikacji lub reseleraOdnów w panelu dostawcy, zweryfikuj domenę, zainstaluj nowe plikiRęcznie, przy każdym okresie ważności
Zarządzany hosting lub kreator stron z wbudowanym SSLSprawdź ustawienie SSL; odnowienie zwykle jest automatyczneMinimalny
Certyfikat za CDN-em lub load balanceremOdnów w CDN-ie lub load balancerze, a nie na serwerze źródłowymZależy od konfiguracji

Odnowienie certyfikatu Let's Encrypt (automatyczne odnawianie)

Certyfikaty Let's Encrypt są zaprojektowane tak, by odnawiało je oprogramowanie. Dokumentacja Certbota podaje, że większość instalacji ma automatyczne odnawianie skonfigurowane od razu, za pomocą zaplanowanego zadania, które cyklicznie uruchamia certbot renew.

Krok po kroku

  1. Sprawdź, czy istnieje zaplanowane zadanie. Na maszynach z systemd uruchom systemctl list-timers i poszukaj timera Certbota. W innych systemach sprawdź crontab. Dokumentacja Certbota opisuje oba miejsca.
  2. Wykonaj próbne uruchomienie. sudo certbot renew --dry-run testuje odnowienie na serwerze testowym (staging) Let's Encrypt. Pobiera certyfikaty testowe, ale nie zapisuje ich na dysku, więc jest bezpieczne na działającej stronie.
  3. Napraw to, co zgłosi narzędzie. Typowe problemy to zapora blokująca port 80, konfiguracja serwera WWW, która nie obsługuje już ścieżki weryfikacji, albo DNS wskazujący gdzie indziej.
  4. Odnów od razu, jeśli trzeba. sudo certbot renew dotyka tylko certyfikatów bliskich wygaśnięcia, więc wielokrotne uruchamianie jest nieszkodliwe.
  5. Przeładuj serwer WWW po odnowieniu, jeśli Twoja konfiguracja nie robi tego automatycznie. Certbot obsługuje deploy hooki, które uruchamiają się tylko wtedy, gdy certyfikat faktycznie został odnowiony.
  6. Zweryfikuj nową datę wygaśnięcia w przeglądarce lub poleceniem openssl podanym wyżej.

Sytuacje, w których automatyczne odnawianie samo nie zadziała

  • Certyfikaty utworzone z opcją --manual w Certbocie nie odnawiają się automatycznie, chyba że połączysz je ze skryptem uwierzytelniającym (hook).
  • Certyfikaty wildcard wymagają weryfikacji DNS, więc jeśli mają odnawiać się bez Twojego udziału, potrzebujesz wtyczki DNS dla swojego dostawcy DNS.
  • Serwery, które zostały zmigrowane, odbudowane lub sklonowane, często tracą timer albo wpis w cronie, mimo że pliki certyfikatu zostały przeniesione.

Odnawiaj według harmonogramu, który przetrwa krótsze okresy ważności

Let's Encrypt ogłosił, że 10 lutego 2027 roku przeniesie swój domyślny profil "classic" na certyfikaty 64-dniowe, a 16 lutego 2028 roku na 45-dniowe. Jego wytyczne mówią, że klienci, którzy nie korzystają z ACME Renewal Information (ARI), nie powinni odnawiać certyfikatów według sztywnego harmonogramu, a odnawianie co stałe 60 dni przestanie wystarczać. Polecenie renew w Certbocie decyduje na podstawie tego, ile ważności zostało, co jest bezpieczniejszym wzorcem. Aktualizuj Certbota i nie opakowuj go własnym skryptem uruchamianym w stałych odstępach. Szczegóły znajdziesz w ogłoszeniu Let's Encrypt o okresach ważności.

Odnowienie płatnego certyfikatu SSL

Płatne certyfikaty nie odnawiają się same, chyba że Twój dostawca lub hosting skonfigurował automatyczne odnawianie. Nazwy przycisków i menu różnią się między dostawcami, więc potraktuj to jako ogólną kolejność działań i sprawdź w dokumentacji dostawcy dokładne ekrany.

  1. Rozpocznij odnowienie na koncie dostawcy. Znajdź certyfikat bliski wygaśnięcia i wybierz odnowienie (renew), ponowne wystawienie (reissue) lub ponowne zamówienie.
  2. Wygeneruj CSR. Wiele serwerów i paneli sterowania potrafi utworzyć żądanie podpisania certyfikatu (CSR). Niektórzy dostawcy pozwalają użyć starego CSR, ale generowanie nowej pary kluczy to zwykle lepszy nawyk.
  3. Przeprowadź weryfikację domeny. Zwykle trzeba udowodnić kontrolę nad domeną przez e-mail na zatwierdzony adres, rekord DNS lub plik na stronie. Certyfikaty organizacyjne i z rozszerzoną walidacją mogą wymagać też weryfikacji dokumentów, więc zacznij je wcześniej.
  4. Pobierz wystawione pliki. Zwykle dostajesz certyfikat oraz pakiet pośredni (łańcuch certyfikatów).
  5. Zainstaluj je na serwerze, w hostingu lub CDN-ie, a potem zrestartuj lub przeładuj serwer WWW.
  6. Przetestuj. Wczytaj stronę w nowym oknie przeglądarki, sprawdź datę wygaśnięcia i upewnij się, że nie pojawiają się ostrzeżenia o niekompletnym łańcuchu ani o mieszanej zawartości (mixed content).
  7. Zaktualizuj przypomnienia i wyłącz automatyczne odnawianie starego certyfikatu, jeśli zmieniasz dostawcę.

Jeśli porównujesz dostawców albo zastanawiasz się, ile powinno kosztować odnowienie, zajrzyj do przewodnika po kosztach certyfikatu SSL. Rejestracja domeny odnawia się osobno, co opisuje przewodnik po kosztach odnowienia domeny.

Okresy ważności certyfikatów się skracają (stan na listopad 2026)

CA/Browser Forum zatwierdziło w kwietniu 2025 roku uchwałę SC-081v3. Stopniowo skraca ona maksymalny okres ważności publicznie zaufanych certyfikatów TLS:

Wystawione odMaksymalny okres ważności
Przed 15 marca 2026398 dni
15 marca 2026200 dni
15 marca 2027100 dni
15 marca 202947 dni

W praktyce wszystko, co odnawiasz ręcznie, trzeba teraz ruszać mniej więcej dwa razy w roku, od marca 2027 roku mniej więcej cztery razy w roku, a do 2029 roku około ośmiu razy w roku. Skracają się też okresy ponownego wykorzystania weryfikacji domeny, więc nie możesz liczyć na to, że stara weryfikacja pozwoli pominąć krok. Limity dotyczą publicznie zaufanych certyfikatów, więc prywatne lub wewnętrzne urzędy certyfikacji kierują się własnymi zasadami.

Jeśli nadal odnawiasz certyfikaty ręcznie, realistyczne opcje to przejście do urzędu certyfikacji lub hostingu obsługującego automatyczne wystawianie (ACME) albo postawienie przed stroną zarządzanej warstwy, takiej jak Twój hosting lub CDN.

Lista kontrolna odnowienia SSL

Skopiuj ją do narzędzia do śledzenia zadań w swoim zespole:

`` [ ] List every certificate: domain, issuer, expiry date, where it is installed [ ] Note who owns each renewal (name, not a team alias) [ ] Set reminders at 30 and 14 days before expiry [ ] Let's Encrypt: confirm the Certbot timer or cron job exists [ ] Let's Encrypt: run certbot renew --dry-run and resolve errors [ ] Wildcards: confirm a DNS plugin or hook is configured [ ] Paid certs: confirm the validation contact email or DNS access still works [ ] Generate a new CSR and key if the vendor requires or recommends it [ ] Install the certificate AND the intermediate chain [ ] Reload the web server, CDN or load balancer [ ] Test the site in a fresh browser and check the new expiry date [ ] Test subdomains, www and non-www, and any API endpoints [ ] Remove expired certificates and retire old reminders [ ] Plan for 200 days now, 100 days from March 15, 2027 ``

Częste błędy przy odnawianiu

  • Odnawianie niewłaściwej warstwy. Jeśli TLS kończy się na CDN-ie lub load balancerze, odnowienie certyfikatu na serwerze źródłowym nie zmieni tego, co widzą odwiedzający.
  • Pominięcie łańcucha. Zainstalowanie samego certyfikatu końcowego może działać w jednej przeglądarce, a w innej albo w kliencie API już nie.
  • Brak przeładowania serwera. Nowe pliki mogą leżeć na dysku, podczas gdy nadal serwowany jest stary certyfikat.
  • E-mail weryfikacyjny trafia do byłego pracownika. Upewnij się, że adres kontaktowy jest monitorowany.
  • Poleganie na jednym przypomnieniu. Alerty w kalendarzu łatwo odrzucić. Automatyzacja plus zewnętrzny monitoring wygaśnięcia jest solidniejsza.

Jeśli dopiero wybierasz hosting

Hosting, który obejmuje odnawianie SSL, eliminuje cały ten obowiązek. Darmowy plan We.Inc pozwala opublikować do trzech stron z gotowych szablonów, takich jak Nora Kessler Studio czy Greenfield Renewables; kreator AI, który tworzy szkic strony na podstawie opisu, jest dostępny od planu Starter za $20 miesięcznie. Możesz zarejestrować się tutaj.

FAQ

Jak odnowić certyfikat Let's Encrypt?

Uruchom sudo certbot renew. Polecenie odnawia tylko certyfikaty bliskie wygaśnięcia, więc bezpiecznie można je zaplanować. Większość instalacji Certbota ma już zaplanowane zadanie, a sudo certbot renew --dry-run testuje je bez zapisywania certyfikatów.

Jak długo ważny jest certyfikat SSL w 2026 roku?

Limit wynosił 398 dni do 15 marca 2026 roku, a teraz wynosi 200 dni. Zmieni się na 100 dni 15 marca 2027 roku i na 47 dni 15 marca 2029 roku. Niektóre urzędy wystawiają certyfikaty na nieco krócej niż limit.

Co się stanie, jeśli mój certyfikat SSL wygaśnie?

Przeglądarki wyświetlają pełnoekranowe ostrzeżenie o bezpieczeństwie, a rygorystyczni klienci API mogą przestać działać. Zainstalowanie odnowionego certyfikatu rozwiązuje problem dla odwiedzających bez żadnych działań z ich strony.

Czy odnowienie to to samo, co zakup nowego certyfikatu?

Zwykle odnowienie to nowo wystawiony certyfikat dla tej samej domeny, z ponowną weryfikacją. Ceny i zniżki zależą od dostawcy, więc sprawdź u swojego.

Dlaczego automatyczne odnawianie Let's Encrypt przestało działać?

Sprawdź, czy nie brakuje timera lub wpisu w cronie, czy port 80 nie jest zablokowany, czy nie zmienił się DNS, czy nie masz certyfikatów utworzonych w trybie manual bez hooka albo wildcarda bez wtyczki DNS. certbot renew --dry-run pokaże konkretny błąd.

Zacznij za darmo · Bez karty kredytowej

Umair Ali Sadaqat

Założyciel We.Inc

Umair jest założycielem We.Inc. Pisze o tworzeniu stron z AI, agencjach i prowadzeniu studia internetowego.

Chcesz zbudować coś świetnego?

Dołącz do 15,000+ firm, które z We.Inc startują, rosną i automatyzują pracę, wszystko na jednej platformie.

Zacznij za darmo

Bez karty kredytowej · Porozmawiaj z działem sprzedaży

Powiązane: Blog

Produkt

Dla kogo

Funkcje

Zasoby

Firma

Mapa strony