วิธีต่ออายุ SSL Certificate: ต่ออัตโนมัติและแบบเสียเงิน

วิธีต่ออายุใบรับรอง SSL: ตั้งต่ออายุอัตโนมัติด้วย Let's Encrypt, ต่ออายุใบรับรองแบบเสียเงินทีละขั้นตอน และเตรียมรับมืออายุใบรับรองที่สั้นลง

คำถามที่พบบ่อย

ต่ออายุใบรับรอง Let's Encrypt ทำอย่างไร

รันคำสั่ง `sudo certbot renew` คำสั่งนี้จะต่ออายุเฉพาะใบรับรองที่ใกล้หมดอายุ จึงตั้งให้รันตามกำหนดเวลาได้อย่างปลอดภัย Certbot ส่วนใหญ่มีงานตามกำหนดเวลาที่ทำสิ่งนี้ให้อยู่แล้ว และคำสั่ง `sudo certbot renew --dry-run` จะทดสอบกระบวนการกับเซิร์ฟเวอร์ staging ของ Let's Encrypt โดยไม่บันทึกใบรับรองทดสอบ

ใบรับรอง SSL มีอายุเท่าไรในปี 2026

ตามข้อตกลง SC-081v3 ของ CA/Browser Forum ใบรับรองที่เบราว์เซอร์เชื่อถือสาธารณะมีอายุสูงสุด 398 วันจนถึงวันที่ 15 มีนาคม 2026 และตั้งแต่วันนั้นเป็นต้นมาอายุสูงสุดคือ 200 วัน จะลดเหลือ 100 วันในวันที่ 15 มีนาคม 2027 และ 47 วันในวันที่ 15 มีนาคม 2029 ผู้ออกใบรับรองบางรายออกให้อายุสั้นกว่าเพดานเล็กน้อย และ Let's Encrypt มีตารางเวลาที่สั้นกว่าของตัวเอง

ถ้าใบรับรอง SSL หมดอายุจะเกิดอะไรขึ้น

เบราว์เซอร์จะแสดงหน้าเตือนความปลอดภัยเต็มหน้าให้ผู้เข้าชม และหลายตัวจะไม่ให้เข้าต่อหากไม่กดยืนยันเอง ไคลเอนต์ API และระบบชำระเงินหรือล็อกอินที่ตรวจใบรับรองอย่างเข้มงวดอาจใช้งานไม่ได้เลย การต่ออายุแล้วติดตั้งใบรับรองใหม่จะแก้ปัญหานี้ได้ และผู้เข้าชมไม่ต้องทำอะไรเมื่อใบรับรองใหม่ใช้งานแล้ว

การต่ออายุเหมือนกับการซื้อใบรับรองใหม่หรือไม่

ใบรับรองแบบเสียเงินส่วนใหญ่ การต่ออายุคือการออกใบรับรองใหม่สำหรับโดเมนเดิม โดยมักต้องยืนยันตัวตนโดเมนใหม่และใช้ CSR ใหม่หรือใช้ซ้ำ ผู้ให้บริการบางรายลดราคาหรือรวมแพ็กเกจการต่ออายุ ขณะที่บางรายถือเป็นการซื้อปกติ ควรตรวจนโยบายการต่ออายุของผู้ให้บริการของคุณ อย่าเพิ่งคิดว่าจะได้ส่วนลด

ทำไมการต่ออายุอัตโนมัติของ Let's Encrypt จึงหยุดทำงาน

สาเหตุที่พบบ่อยคือ timer หรือ cron job ถูกลบหรือปิดไป เว็บเซิร์ฟเวอร์ไม่ตอบคำขอยืนยันผ่าน HTTP บนพอร์ต 80 แล้ว มีการเปลี่ยนแปลง DNS หรือสร้างใบรับรองด้วยตัวเลือก manual โดยไม่มี authentication hook ส่วนใบรับรองแบบ wildcard ต้องใช้ปลั๊กอิน DNS จึงจะต่ออายุอัตโนมัติได้ ให้รัน `sudo certbot renew --dry-run` แล้วอ่านข้อผิดพลาดที่แสดงออกมา

คำตอบสั้น ๆ: หากใบรับรองของคุณมาจาก Let's Encrypt ให้รัน sudo certbot renew (หรือปล่อยให้งานตามกำหนดเวลาที่ Certbot สร้างไว้แล้วทำงานแทน) หากซื้อจากผู้ออกใบรับรอง (CA) หรือตัวแทนจำหน่าย ให้ต่ออายุจากแดชบอร์ดของผู้ให้บริการนั้น ยืนยันโดเมนอีกครั้ง แล้วติดตั้งไฟล์ใบรับรองใหม่บนเซิร์ฟเวอร์หรือโฮสต์ จากนั้นตรวจวันหมดอายุใหม่ในเบราว์เซอร์ นอกจากนี้อายุสูงสุดของใบรับรองกำลังสั้นลงเรื่อย ๆ ยิ่งทำให้เป็นระบบอัตโนมัติเร็วเท่าไร ก็ยิ่งไม่ต้องมานั่งทำเองบ่อยเท่านั้น

อย่างแรก: ตรวจสอบว่าใบรับรองหมดอายุเมื่อไรและอยู่ที่ไหน

ก่อนต่ออายุอะไรก็ตาม ให้ยืนยันก่อนว่าคุณมีใบรับรองอะไรอยู่

  1. เปิดเว็บไซต์ใน Chrome คลิกไอคอนแม่กุญแจหรือไอคอนข้อมูลเว็บไซต์ แล้วเปิดรายละเอียดใบรับรอง จดวันที่ "Valid to" (ใช้ได้ถึง) และผู้ออกใบรับรอง
  2. หรือตรวจจากเทอร์มินัล: echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer
  3. หากผู้ออกคือ Let's Encrypt ให้ดูหัวข้อต่ออายุอัตโนมัติด้านล่าง หากเป็นผู้ออกรายอื่น แสดงว่าคุณน่าจะใช้ใบรับรองแบบเสียเงินและต้องทำตามขั้นตอนต่ออายุแบบเสียเงิน
  4. หากเว็บไซต์ของคุณอยู่บนโฮสต์แบบมีผู้ดูแลหรือตัวสร้างเว็บไซต์ แพลตฟอร์มมักจัดการการต่ออายุให้เอง ให้มองหาการตั้งค่า SSL หรือความปลอดภัยของโดเมนก่อนจะไปยุ่งกับไฟล์

ไม่แน่ใจว่าใช้ประเภทไหน? คู่มือประเภทใบรับรอง SSL อธิบายใบรับรองแบบ Domain Validation, Organization Validation และ Extended Validation ส่วนบทความ SSL certificate คืออะไร ในอภิธานศัพท์ครอบคลุมพื้นฐานไว้แล้ว

เส้นทางต่ออายุแบบไหนเหมาะกับคุณ

สถานการณ์ของคุณสิ่งที่ต้องทำความยุ่งยาก
ใช้ Let's Encrypt ผ่าน Certbot บนเซิร์ฟเวอร์ของคุณเองยืนยันว่างาน certbot renew ตามกำหนดเวลาทำงานอยู่ แล้วทดสอบด้วย --dry-runต่ำ ส่วนใหญ่ทำครั้งเดียว
ใบรับรองจากผู้ออกใบรับรองแบบเสียเงินหรือตัวแทนจำหน่ายต่ออายุในแดชบอร์ดของผู้ให้บริการ ยืนยันโดเมน แล้วติดตั้งไฟล์ใหม่ทำเองทุกรอบอายุ
โฮสต์แบบมีผู้ดูแลหรือตัวสร้างเว็บไซต์ที่มี SSL ในตัวตรวจการตั้งค่า SSL โดยปกติต่ออายุให้อัตโนมัติน้อยมาก
ใบรับรองที่อยู่หลัง CDN หรือ load balancerต่ออายุที่ CDN หรือ load balancer ไม่ใช่ที่เซิร์ฟเวอร์ต้นทางขึ้นอยู่กับการตั้งค่า

ต่ออายุใบรับรอง Let's Encrypt (ต่ออัตโนมัติ)

ใบรับรอง Let's Encrypt ออกแบบมาให้ซอฟต์แวร์ต่ออายุเอง เอกสารของ Certbot ระบุว่าการติดตั้งส่วนใหญ่มาพร้อมการต่ออายุอัตโนมัติที่ตั้งค่าไว้แล้ว โดยใช้งานตามกำหนดเวลาที่รัน certbot renew เป็นระยะ

ทีละขั้นตอน

  1. ตรวจว่ามีงานตามกำหนดเวลาอยู่หรือไม่ บนเครื่องที่ใช้ systemd ให้รัน systemctl list-timers แล้วมองหา timer ของ Certbot ส่วนเครื่องอื่นให้ตรวจ crontab เอกสารของ Certbot อธิบายไว้ทั้งสองที่
  2. รัน dry run sudo certbot renew --dry-run จะทดสอบการต่ออายุกับเซิร์ฟเวอร์ staging ของ Let's Encrypt โดยขอใบรับรองทดสอบแต่ไม่บันทึกลงดิสก์ จึงใช้กับเว็บไซต์ที่เปิดใช้งานจริงได้อย่างปลอดภัย
  3. แก้ตามที่รายงานมา ข้อผิดพลาดที่พบบ่อยคือไฟร์วอลล์บล็อกพอร์ต 80 คอนฟิกเว็บเซิร์ฟเวอร์ไม่ให้บริการพาธสำหรับยืนยันแล้ว หรือ DNS ชี้ไปที่อื่น
  4. ต่ออายุทันทีหากจำเป็น sudo certbot renew จะแตะเฉพาะใบรับรองที่ใกล้หมดอายุ จึงรันซ้ำกี่ครั้งก็ไม่เสียหาย
  5. รีโหลดเว็บเซิร์ฟเวอร์หลังต่ออายุ หากระบบของคุณไม่ทำให้อัตโนมัติ Certbot รองรับ deploy hook ที่ทำงานเฉพาะเมื่อมีการต่ออายุใบรับรองจริง
  6. ตรวจวันหมดอายุใหม่ ด้วยเบราว์เซอร์หรือคำสั่ง openssl ข้างต้น

กรณีที่ต่ออัตโนมัติไม่ทำงานเอง

  • ใบรับรองที่สร้างด้วยตัวเลือก --manual ของ Certbot จะไม่ต่ออายุอัตโนมัติ เว้นแต่คุณจับคู่กับสคริปต์ authentication hook
  • ใบรับรองแบบ wildcard ต้องยืนยันผ่าน DNS ดังนั้นหากต้องการให้ต่ออายุเองโดยไม่ต้องดูแล คุณต้องมีปลั๊กอิน DNS สำหรับผู้ให้บริการ DNS ของคุณ
  • เซิร์ฟเวอร์ที่ย้าย สร้างใหม่ หรือโคลนมา มักทำ timer หรือรายการ cron หายไป แม้ไฟล์ใบรับรองจะติดมาด้วย

ตั้งเวลาต่ออายุให้รองรับอายุใบรับรองที่สั้นลง

Let's Encrypt ประกาศว่าจะย้ายโปรไฟล์ "classic" เริ่มต้นไปเป็นใบรับรองอายุ 64 วันในวันที่ 10 กุมภาพันธ์ 2027 และเป็นอายุ 45 วันในวันที่ 16 กุมภาพันธ์ 2028 แนวทางของ Let's Encrypt คือไคลเอนต์ที่ไม่ใช้ ACME Renewal Information (ARI) ไม่ควรต่ออายุตามตารางเวลาที่ตายตัว และการต่ออายุทุก 60 วันแบบตายตัวจะไม่เพียงพออีกต่อไป คำสั่ง renew ของ Certbot ตัดสินใจจากอายุที่เหลืออยู่ ซึ่งเป็นรูปแบบที่ปลอดภัยกว่า ควรอัปเดต Certbot อยู่เสมอ และอย่าห่อมันด้วยสคริปต์ที่ตั้งรอบเวลาตายตัวของคุณเอง ดูรายละเอียดได้ที่ ประกาศเรื่องอายุใบรับรองของ Let's Encrypt

ต่ออายุใบรับรอง SSL แบบเสียเงิน

ใบรับรองแบบเสียเงินไม่ต่ออายุเอง เว้นแต่ผู้ให้บริการหรือโฮสต์ของคุณตั้งการต่ออายุอัตโนมัติไว้ ชื่อปุ่มและเมนูแตกต่างกันไปในแต่ละผู้ให้บริการ ให้ถือว่านี่คือลำดับการทำงานโดยทั่วไป และตรวจเอกสารของผู้ให้บริการเพื่อดูหน้าจอที่แน่นอน

  1. เริ่มการต่ออายุในบัญชีผู้ให้บริการ มองหาใบรับรองที่ใกล้หมดอายุ แล้วเลือกต่ออายุ (renew) ออกใหม่ (reissue) หรือสั่งซื้อใหม่
  2. สร้าง CSR เซิร์ฟเวอร์และแผงควบคุมจำนวนมากสร้างคำขอลงนามใบรับรอง (CSR) ได้ ผู้ให้บริการบางรายให้ใช้ CSR เดิมซ้ำ แต่โดยทั่วไปการสร้างคู่กุญแจใหม่เป็นนิสัยที่ดีกว่า
  3. ยืนยันโดเมนให้เสร็จ โดยปกติคุณจะต้องพิสูจน์ความเป็นเจ้าของผ่านอีเมลไปยังที่อยู่ที่ได้รับอนุมัติ เรคคอร์ด DNS หรือไฟล์บนเว็บไซต์ ใบรับรองแบบ Organization Validation และ Extended Validation อาจต้องตรวจเอกสารเพิ่มเติม จึงควรเริ่มให้เร็วขึ้น
  4. ดาวน์โหลดไฟล์ที่ออกให้ โดยทั่วไปคุณจะได้รับใบรับรองพร้อมชุดใบรับรองกลาง (chain)
  5. ติดตั้ง บนเซิร์ฟเวอร์ โฮสต์ หรือ CDN ของคุณ แล้วรีสตาร์ตหรือรีโหลดเว็บเซิร์ฟเวอร์
  6. ทดสอบ เปิดเว็บไซต์ในหน้าต่างเบราว์เซอร์ใหม่ ตรวจวันหมดอายุ และดูว่าไม่มีคำเตือน "incomplete chain" หรือ mixed content
  7. อัปเดตการแจ้งเตือน และยกเลิกการต่ออายุอัตโนมัติของใบรับรองเดิม หากคุณย้ายผู้ให้บริการ

หากกำลังเปรียบเทียบผู้ให้บริการ หรืออยากรู้ว่าค่าต่ออายุควรอยู่ที่เท่าไร ดูคู่มือราคาใบรับรอง SSL ส่วนการต่ออายุโดเมนแยกต่างหาก ซึ่งอธิบายไว้ในคู่มือค่าต่ออายุโดเมน

อายุใบรับรองกำลังสั้นลง (ตรวจสอบเมื่อพฤศจิกายน 2026)

CA/Browser Forum อนุมัติข้อตกลง SC-081v3 ในเดือนเมษายน 2025 โดยลดอายุสูงสุดของใบรับรอง TLS ที่เบราว์เซอร์เชื่อถือสาธารณะลงเป็นขั้น ๆ

ออกในหรือหลังวันที่อายุสูงสุด
ก่อน 15 มีนาคม 2026398 วัน
15 มีนาคม 2026200 วัน
15 มีนาคม 2027100 วัน
15 มีนาคม 202947 วัน

ผลในทางปฏิบัติคือ สิ่งที่คุณต้องต่ออายุด้วยมือตอนนี้ต้องทำประมาณปีละสองครั้ง จากนั้นประมาณปีละสี่ครั้งตั้งแต่มีนาคม 2027 และประมาณปีละแปดครั้งภายในปี 2029 ช่วงเวลาที่ใช้การยืนยันโดเมนซ้ำได้ก็สั้นลงเช่นกัน คุณจึงอาศัยการยืนยันเก่าเพื่อข้ามขั้นตอนไม่ได้ ข้อจำกัดนี้ใช้กับใบรับรองที่เบราว์เซอร์เชื่อถือสาธารณะ ส่วน CA ส่วนตัวหรือภายในองค์กรเป็นไปตามกฎของตัวเอง

หากคุณยังต่ออายุด้วยมืออยู่ ทางเลือกที่เป็นจริงคือย้ายไปใช้ CA หรือโฮสต์ที่รองรับการออกใบรับรองอัตโนมัติ (ACME) หรือวางบริการที่มีผู้ดูแล เช่น โฮสต์ของคุณหรือ CDN ไว้หน้าเว็บไซต์

เช็คลิสต์ต่ออายุ SSL

คัดลอกไปใส่ในระบบติดตามงานของทีมคุณได้เลย

`` [ ] ทำรายการใบรับรองทั้งหมด: โดเมน ผู้ออก วันหมดอายุ ตำแหน่งที่ติดตั้ง [ ] ระบุผู้รับผิดชอบการต่ออายุแต่ละใบ (เป็นชื่อบุคคล ไม่ใช่อีเมลกลางของทีม) [ ] ตั้งการแจ้งเตือนก่อนหมดอายุ 30 วันและ 14 วัน [ ] Let's Encrypt: ยืนยันว่ามี timer หรือ cron job ของ Certbot [ ] Let's Encrypt: รัน certbot renew --dry-run และแก้ข้อผิดพลาด [ ] Wildcard: ยืนยันว่าตั้งค่าปลั๊กอินหรือ hook ของ DNS แล้ว [ ] ใบรับรองแบบเสียเงิน: ยืนยันว่าอีเมลติดต่อสำหรับยืนยันหรือสิทธิ์เข้าถึง DNS ยังใช้ได้ [ ] สร้าง CSR และกุญแจใหม่ หากผู้ให้บริการกำหนดหรือแนะนำ [ ] ติดตั้งใบรับรองและใบรับรองกลาง (chain) ให้ครบ [ ] รีโหลดเว็บเซิร์ฟเวอร์ CDN หรือ load balancer [ ] ทดสอบเว็บไซต์ในเบราว์เซอร์ใหม่ และตรวจวันหมดอายุใหม่ [ ] ทดสอบซับโดเมน www และไม่มี www รวมถึงปลายทาง API ทั้งหมด [ ] ลบใบรับรองที่หมดอายุและยกเลิกการแจ้งเตือนเก่า [ ] วางแผนรองรับ 200 วันตอนนี้ และ 100 วันตั้งแต่ 15 มีนาคม 2027 ``

ข้อผิดพลาดที่พบบ่อยในการต่ออายุ

  • ต่ออายุผิดชั้น หาก CDN หรือ load balancer เป็นตัวรับ TLS การต่ออายุใบรับรองที่เซิร์ฟเวอร์ต้นทางจะไม่เปลี่ยนสิ่งที่ผู้เข้าชมเห็น
  • ลืม chain การติดตั้งเฉพาะใบรับรองหลักอาจใช้ได้ในเบราว์เซอร์หนึ่งแต่ล้มเหลวในอีกเบราว์เซอร์หรือในไคลเอนต์ API
  • ไม่ได้รีโหลดเซิร์ฟเวอร์ ไฟล์ใหม่อาจวางอยู่บนดิสก์ ขณะที่เซิร์ฟเวอร์ยังส่งใบรับรองเก่าอยู่
  • อีเมลยืนยันไปถึงอดีตพนักงาน ตรวจให้แน่ใจว่าที่อยู่อีเมลติดต่อมีคนเฝ้าดูอยู่
  • เชื่อการแจ้งเตือนเพียงครั้งเดียว การแจ้งเตือนในปฏิทินมักถูกปัดทิ้ง ระบบอัตโนมัติร่วมกับตัวตรวจสอบวันหมดอายุจากภายนอกจะเชื่อถือได้กว่า

หากยังตัดสินใจเรื่องโฮสติ้งอยู่

โฮสติ้งที่รวมการต่ออายุ SSL ไว้ให้จะตัดภาระงานนี้ไปทั้งหมด แผนฟรีของ We.Inc ให้คุณเผยแพร่เว็บไซต์ได้สูงสุดสามเว็บไซต์จากเทมเพลตสำเร็จรูป เช่น Nora Kessler Studio หรือ Greenfield Renewables ส่วนตัวสร้างเว็บไซต์ด้วย AI ที่ร่างเว็บไซต์จากพรอมต์เริ่มต้นที่แผน Starter ราคา $20 ต่อเดือน คุณสมัครได้ที่นี่

คำถามที่พบบ่อย

ต่ออายุใบรับรอง Let's Encrypt ทำอย่างไร

รัน sudo certbot renew คำสั่งนี้จะต่ออายุเฉพาะใบรับรองที่ใกล้หมดอายุ จึงตั้งเวลาให้รันได้อย่างปลอดภัย Certbot ส่วนใหญ่มีงานตามกำหนดเวลาอยู่แล้ว และ sudo certbot renew --dry-run จะทดสอบโดยไม่บันทึกใบรับรอง

ใบรับรอง SSL มีอายุเท่าไรในปี 2026

เพดานอายุคือ 398 วันจนถึง 15 มีนาคม 2026 และตอนนี้คือ 200 วัน จะเป็น 100 วันในวันที่ 15 มีนาคม 2027 และ 47 วันในวันที่ 15 มีนาคม 2029 ผู้ออกใบรับรองบางรายออกให้อายุสั้นกว่าเพดานเล็กน้อย

ถ้าใบรับรอง SSL หมดอายุจะเกิดอะไรขึ้น

เบราว์เซอร์จะแสดงคำเตือนความปลอดภัยเต็มหน้า และไคลเอนต์ API ที่ตรวจเข้มงวดอาจล้มเหลว การติดตั้งใบรับรองที่ต่ออายุแล้วจะแก้ปัญหาให้ผู้เข้าชมโดยที่พวกเขาไม่ต้องทำอะไร

การต่ออายุเหมือนกับการซื้อใบรับรองใหม่หรือไม่

โดยทั่วไปการต่ออายุคือการออกใบรับรองใหม่สำหรับโดเมนเดิมพร้อมการยืนยันใหม่ ราคาและส่วนลดต่างกันไปตามผู้ให้บริการ ควรตรวจกับรายที่คุณใช้

ทำไมการต่ออายุอัตโนมัติของ Let's Encrypt จึงหยุดทำงาน

ให้ตรวจว่า timer หรือรายการ cron หายไป พอร์ต 80 ถูกบล็อก DNS เปลี่ยน ใบรับรองโหมด manual ที่ไม่มี hook หรือ wildcard ที่ไม่มีปลั๊กอิน DNS certbot renew --dry-run จะแสดงข้อผิดพลาดที่เฉพาะเจาะจง

เริ่มต้นฟรี · ไม่ต้องใช้บัตรเครดิต

Umair Ali Sadaqat

ผู้ก่อตั้ง We.Inc

Umair เป็นผู้ก่อตั้ง We.Inc เขาเขียนเกี่ยวกับการสร้างเว็บไซต์ด้วย AI เอเจนซี และธุรกิจการบริหารเว็บสตูดิโอ

พร้อมสร้างสิ่งที่ยอดเยี่ยมแล้วหรือยัง

เข้าร่วมกับธุรกิจ 15,000+ รายที่ใช้ We.Inc เปิดตัว เติบโต และทำงานอัตโนมัติ ทั้งหมดจากแพลตฟอร์มเดียว

เริ่มต้นฟรี

ไม่ต้องใช้บัตรเครดิต · ติดต่อฝ่ายขาย

ที่เกี่ยวข้อง: บล็อก

ผลิตภัณฑ์

เหมาะกับใคร

ฟีเจอร์

แหล่งข้อมูล

บริษัท

แผนผังเว็บไซต์