Certyfikat SSL od Let’s Encrypt ważny 64 dni od 2027

Od 10 lutego 2027 roku darmowy certyfikat SSL od Let’s Encrypt będzie domyślnie ważny 64 dni zamiast 90. Strona, która odnawia go ręcznie albo po sztywnej liczbie dni, może zostać z wygasłym certyfikatem i ostrzeżeniem w przeglądarce. Organizacja ogłosiła zmianę 7 października 2026 roku. Kto ma automatyczne odnawianie z obsługą ARI, najpewniej nie musi zmieniać konfiguracji. Pozostali, w tym klienci hostingów, mają cztery miesiące na sprawdzenie crona, skryptów albo mechanizmu dostawcy.

Co dokładnie zmienia Let’s Encrypt i od kiedy

Od 10 lutego 2027 roku domyślny profil wydawania (classic) skróci ważność certyfikatów z 90 do 64 dni, a w 2028 roku do 45 dni. Let’s Encrypt to bezpłatny urząd certyfikacji prowadzony przez organizację non-profit ISRG. Korzysta z niego wiele polskich sklepów, blogów i stron firmowych, bo większość hostingów włącza jego certyfikat jednym kliknięciem.

Datę z 2028 roku podał wcześniejszy wpis o planie skracania ważności z grudnia 2025. Let’s Encrypt zapowiada też, że nie unieważni żadnego ważnego certyfikatu. Te wydane przed 10 lutego dożyją swoich 90 dni, a krótszy okres pojawi się przy pierwszym odnowieniu po tej dacie. Kto sam wybrał krótsze profile tlsserver (45 dni) albo shortlived (około 6 dni), zostaje przy nich.

Druga zmiana dotyczy autoryzacji, czyli potwierdzenia, że kontrolujesz domenę. Dziś raz zrobione potwierdzenie można wykorzystać przez 30 dni, od lutego przez 10 dni, a w 2028 roku przez 7 godzin. Według Let’s Encrypt zmiana dotknie tylko tych, którzy celowo zbudowali klienta wokół ponownego użycia autoryzacji. Limity zapytań, adresy serwera ACME i łańcuch certyfikatów zostają bez zmian.

Czym jest darmowy certyfikat SSL i jak działa jego odnawianie

Certyfikat SSL (dziś formalnie TLS) pozwala przeglądarce sprawdzić, że łączy się z serwerem uprawnionym do obsługi danej domeny. Potem protokół TLS szyfruje przesyłane dane, a obok adresu widać kłódkę. Let’s Encrypt wydaje certyfikaty typu DV, czyli potwierdzające samą kontrolę nad domeną. Tożsamości firmy taki certyfikat nie sprawdza.

Certyfikat wydaje i odnawia program-klient działający w protokole ACME. Na serwerze VPS jest to najczęściej Certbot, na hostingu współdzielonym mechanizm wbudowany w panel. Klient prosi Let’s Encrypt o certyfikat i dowodzi kontroli nad domeną, na przykład wystawiając plik pod określonym adresem albo dodając rekord DNS. Potem instaluje certyfikat na serwerze. Odnowienie to po prostu wydanie nowego certyfikatu dla tej samej domeny, zanim stary wygaśnie.

O tym, kiedy odnowić, decyduje klient. Starsze konfiguracje mają to wpisane na sztywno, na przykład “odnów 30 dni przed końcem”. Nowsze korzystają z ARI (ACME Renewal Information), czyli standardu RFC 9773, w którym serwer Let’s Encrypt sam podpowiada klientowi właściwy moment. Dzięki ARI klient odnowi certyfikat wcześniej także wtedy, gdy urząd musi go unieważnić z powodu błędu.

Frontend Master 2026 · Kodożercy

Zrozum, co się dzieje pod spodem twojej strony

Frontend Master 2026 to sześć kursów Kodożerców z HTML, CSS, JS i Git. Z fundamentami przestajesz kopiować bez zrozumienia, zaczynasz świadomie poprawiać, łączyć i rozszerzać każdy projekt.

Zobacz program →

Kogo dotyczy skrócenie ważności certyfikatu SSL

Zmiana dotyczy każdego, kto korzysta z domyślnego profilu Let’s Encrypt, ale kłopot będą mieli tylko ci, u których odnawianie nie nadąży za krótszym okresem. Najbardziej narażone są trzy sytuacje: certyfikat odnawiany ręcznie, skrypt albo cron z wpisaną liczbą dni oraz dawna instalacja kogoś z zewnątrz, o której nikt już nie pamięta.

Przy 64 dniach ważności sztywne “odnawiaj co 60 dni” zostawia cztery dni zapasu. Jedna nieudana próba w weekend wystarczy, żeby certyfikat wygasł. Odnawianie w 80. albo 83. dniu w ogóle nie zdąży, bo certyfikat wygaśnie w 64. dniu. Dlatego Let’s Encrypt radzi przeszukać crony, skrypty i instrukcje pod kątem liczb 83, 80 i 60.

Zmiana nie obejmuje certyfikatów od innych wystawców. Płatne certyfikaty od innych urzędów certyfikacji, wydane od 15 marca 2026 roku, mogą być ważne najwyżej 200 dni i podlegają harmonogramowi branżowemu, o którym niżej.

Co sprawdzić w odnawianiu przed 10 lutego 2027

Najpierw sprawdź, kto odnawia certyfikat i czy ten mechanizm zareaguje na krótszy okres ważności. Może to być panel hostingu, Certbot na serwerze, inny klient ACME, wtyczka albo zewnętrzna firma. Dalej pomoże lista oparta na zaleceniach Let’s Encrypt i dokumentacji Certbota.

1. Hosting współdzielony: w panelu sprawdź, czy certyfikat Let’s Encrypt ma włączone automatyczne odnawianie. Jeśli panel tego nie pokazuje, zapytaj pomoc techniczną, czy ich mechanizm odnawia według ARI albo po ⅔ ważności.
2. Certbot: sprawdź wersję poleceniem certbot --version. Od wersji 4.1.0 z czerwca 2025 roku certbot renew sam sprawdza ARI i zwykle odnawia certyfikat po około dwóch trzecich ważności.
3. Cron, timer systemd i własne skrypty: wyszukaj liczby 83, 80 i 60, na przykład grep -rnE '\b(83|80|60)\b' /etc/cron* ~/skrypty. Zamiast stałej liczby dni ustaw odnawianie po około ⅔ ważności albo oddaj decyzję klientowi z ARI.
4. Test przed zmianą: od 14 października środowisko testowe będzie wydawać certyfikaty 64-dniowe. W Certbocie test uruchomisz flagą --dry-run albo --test-cert.
5. Alert: dodaj powiadomienie o nieudanym odnowieniu albo o certyfikacie, któremu zostało mniej niż 14 dni. Let’s Encrypt wymienia gotowe usługi na stronie z opcjami monitoringu.

Jeśli sam utrzymujesz serwer, przy okazji przejrzyj resztę jego zabezpieczeń według naszej instrukcji zabezpieczania serwera VPS. Ręcznego odnawiania Let’s Encrypt nie zaleca, bo przy krótszych certyfikatach trzeba by je robić coraz częściej.

Let’s Encrypt w polskich hostingach: co mówi dokumentacja

Dokumentacje cyber_Folks, OVHcloud i home.pl nie potwierdzają obsługi ARI, więc szczegóły odnawiania trzeba sprawdzić u dostawcy. U pozostałych firm sprawdź w panelu, czy odnawianie jest automatyczne.

• cyber_Folks: pomoc cyber_Folks deklaruje automatyczne odnawianie w panelach cyber_Admin i server_Panel, ale opisuje je jako odnawianie “co 90 dni”. Warto potwierdzić u dostawcy, że mechanizm dostosuje się do 64 dni. W panelu DirectAdmin automatyczne odnawianie wymaga dodatku auto_Keeper.
• OVHcloud: na hostingu certyfikat Let’s Encrypt odnawia się automatycznie i bezpłatnie. Od 6 sierpnia 2025 roku OVHcloud włącza go domyślnie dla nowych domen podpiętych do hostingu.
• home.pl: pomoc opisuje Let’s Encrypt jako certyfikat zewnętrzny, który Biuro Obsługi Klienta instaluje na płatne zlecenie. Jeśli tak został zainstalowany u ciebie, zapytaj, kto i jak go odnawia.

Wcześniej opisywaliśmy, co znaczy dla internetu, że tak dużo stron zależy od Let’s Encrypt. Krótsze certyfikaty zwiększają liczbę odnowień, ale według Let’s Encrypt odnowienia nie wliczają się do limitów zapytań.

Dlaczego certyfikaty SSL są coraz krótsze

Let’s Encrypt uzasadnia skrócenie mniejszym ryzykiem przejęcia klucza i błędnie wydanego certyfikatu. Jeśli ktoś ukradnie klucz albo urząd wyda certyfikat nie temu, komu trzeba, krótka ważność ogranicza czas, przez który da się go nadużyć.

Ten sam kierunek obowiązuje całą branżę. W kwietniu 2025 roku CA/Browser Forum, czyli zrzeszenie urzędów certyfikacji i twórców przeglądarek, przyjęło harmonogram skracania maksymalnej ważności. Za głosowali m.in. Apple, Google, Microsoft i Mozilla.

Let’s Encrypt schodzi więc poniżej branżowego limitu z wyprzedzeniem: 64 dni w lutym 2027 roku, gdy od marca limit wyniesie 100 dni. Płatny certyfikat wydany od 15 marca 2026 roku też nie wytrzyma już roku, tylko najwyżej 200 dni. Przy takich terminach automatyczne odnawianie będzie potrzebne także przy płatnych certyfikatach.

{ strony www }

Strona firmowa, która zbiera zapytania od klientów

Projektujemy strony dla firm na WordPressie: szybkie, wygodne na telefonie i przygotowane pod Google. Pomożemy też napisać treści, które jasno tłumaczą, co sprzedajesz.

Zobacz, jak projektujemy strony → Software house, który prowadzi ten blog

Najczęstsze pytania

Czy moja strona przestanie działać w lutym 2027?

Nie, jeśli certyfikat odnawia się automatycznie i w porę. Let’s Encrypt nie unieważni ważnych certyfikatów, a te wydane przed 10 lutego zachowają 90 dni. Problem pojawi się tylko tam, gdzie odnawianie jest ręczne albo ustawione na zbyt późny termin. Wtedy przeglądarka pokaże ostrzeżenie o niezaufanym połączeniu.

Czy mogę już teraz dostać certyfikat 45-dniowy?

Tak. Let’s Encrypt udostępnia profil tlsserver z certyfikatami ważnymi 45 dni i profil shortlived z certyfikatami ważnymi około 6 dni. Oba trzeba wybrać w kliencie ACME, na przykład w Certbocie flagą --preferred-profile. Według opisu profili to opcje dla tych, którzy w pełni ufają swojej automatyzacji.

Podsumowanie

Od 10 lutego 2027 roku domyślne certyfikaty SSL od Let’s Encrypt będą ważne 64 dni, a rok później 45 dni. Ważne certyfikaty nie zostaną unieważnione, więc nic nie wygaśnie z dnia na dzień. Kłopot będą mieli ci, u których odnawianie jest ręczne albo ustawione na sztywny termin. Na hostingu potwierdź w panelu albo u obsługi, że certyfikat odnawia się automatycznie i że mechanizm poradzi sobie z krótszym okresem. Na własnym serwerze upewnij się, że klient ACME obsługuje ARI, a cron i skrypty nie mają wpisanej stałej liczby dni. Do tego dodaj alert o nieudanym odnowieniu i przetestuj odnawianie w środowisku testowym, które przechodzi na 64 dni w połowie października. Płatnych certyfikatów dotyczy harmonogram CA/Browser Forum: od 15 marca 2027 roku będą ważne najwyżej 100 dni.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.