SSL certifikáty sa skracujú: od roku 2029 budú platiť len 47 dní

Zámok v adresnom riadku prehliadača berieme ako samozrejmosť. Za ním je však SSL/TLS certifikát, ktorý má obmedzenú platnosť – a tá sa v najbližších rokoch výrazne skráti. Kým doteraz stačilo certifikát obnoviť raz za rok, v roku 2029 to bude takmer osemkrát ročne. Vysvetľujeme, čo sa mení, prečo a ako zabezpečiť, aby váš web jedného rána neprivítal návštevníkov červeným varovaním.

Čo sa vlastne rozhodlo

O pravidlách pre certifikáty rozhoduje CA/Browser Forum – združenie certifikačných autorít a výrobcov prehliadačov. V apríli 2025 schválilo návrh s označením SC-081v3, ktorý postupne skracuje maximálnu platnosť verejných SSL/TLS certifikátov z doterajších 398 dní na 47 dní. Návrh pôvodne predložil Apple a za hlasovali všetci štyria veľkí výrobcovia prehliadačov – Apple, Google, Microsoft aj Mozilla. Proti nebol nikto.

Nejde teda o odporúčanie, ale o záväzné pravidlo. Certifikát, ktorý by ho nespĺňal, by prehliadače jednoducho neakceptovali.

Harmonogram: tri kroky do roku 2029

1. 398 dnído 14. marca 2026Pôvodný stav – obnova raz ročne.
2. 200 dníod 15. marca 2026Už platí. Ročný cyklus obnovy prestal fungovať.
3. 100 dníod 15. marca 2027Obnova približne štyrikrát ročne.
4. 47 dníod 15. marca 2029Obnova približne 8-krát ročne – ručne to prakticky nejde.

Certifikáty vydané pred každým z týchto dátumov platia do konca svojej pôvodnej doby. Nové certifikáty však musia nový limit spĺňať hneď, bez prechodného obdobia.

Spolu s platnosťou sa skracuje aj doba, počas ktorej môže certifikačná autorita „recyklovať“ overenie, že doménu naozaj vlastníte. V roku 2029 to bude len 10 dní – vlastníctvo domény sa teda bude overovať prakticky pri každej obnove.

Prečo sa to deje

Na prvý pohľad to vyzerá ako zbytočná administratíva. Dôvody sú však čisto bezpečnostné:

• Menšie okno pre zneužitie. Ak útočník získa súkromný kľúč k certifikátu, môže ho zneužívať až do jeho vypršania. Pri 47 dňoch je to zlomok doterajšieho času.
• Odvolanie certifikátu v praxi nefunguje spoľahlivo. Prehliadače kontrolujú zneplatnené certifikáty nedôsledne, preto je krátka platnosť najistejšou poistkou.
• Aktuálnejšie údaje. Častejšie overenie znamená, že certifikát zodpovedá tomu, kto doménu skutočne vlastní dnes – nie pred rokom.
• Rýchlejšie zmeny technológií. Keď bude treba prejsť na nové šifrovacie algoritmy, napríklad odolné voči kvantovým počítačom, krátke certifikáty sa vymenia za pár týždňov, nie za roky.

Trend nie je nový. Ešte v roku 2015 mohol certifikát platiť až päť rokov, potom tri, v roku 2018 dva a od roku 2020 jeden rok. Súvisí to aj s témou nášho staršieho článku Koniec EV certifikátov – dôraz sa presúva z „vizuálnej dôvery“ na technickú bezpečnosť.

Čo to znamená pre váš web

Ak certifikát vyprší, prehliadač zobrazí celostránkové varovanie typu „Vaše pripojenie nie je súkromné“. Väčšina návštevníkov v tej chvíli odíde – a nemožno sa im čudovať. Prestanú fungovať kontaktné formuláre, objednávky v e-shope aj prihlasovanie a vyhľadávače môžu stránku dočasne znevýhodniť.

Najviac ohrozené sú weby, kde sa certifikát:

• kupuje na rok a inštaluje ručne – napríklad podľa pripomienky v e-maile od predajcu,
• nachádza na staršom hostingu alebo vlastnom serveri bez automatickej obnovy,
• používa aj mimo samotného webu – na e-mailovom serveri, VPN, subdoménach či v interných systémoch, na ktoré sa ľahko zabudne.

Pozor aj na „viacročné“ certifikáty: stále ich možno kúpiť, ale ide len o predplatné. Samotný certifikát treba počas neho vymieňať podľa aktuálneho limitu.

Dobrá správa: ak váš web používa bezplatný certifikát Let’s Encrypt s automatickou obnovou, ktorý dnes ponúka väčšina moderných hostingov, s veľkou pravdepodobnosťou nemusíte robiť nič. Tieto certifikáty platia 90 dní a obnovujú sa samé už roky.

Ako sa pripraviť

Postup, ktorý odporúčame našim klientom:

1. Spíšte si všetky certifikáty. Hlavná doména, subdomény, e-mail, administrácia, testovacie prostredia. Najväčšie riziko je certifikát, o ktorom nikto nevie.
2. Overte, či sa obnovujú automaticky. Opýtajte sa hostingu alebo správcu, či používa protokol ACME (napríklad Let’s Encrypt). Ak nie, je čas to zmeniť.
3. Nastavte si monitoring expirácie. Aj automatika občas zlyhá – napríklad po zmene DNS alebo presune webu. Upozornenie niekoľko týždňov vopred vám dá čas reagovať.
4. Pri platených certifikátoch (OV, EV) si overte, či váš poskytovateľ podporuje automatické vydávanie. Ak ho nepotrebujete z obchodných dôvodov, zvážte prechod na bezplatný certifikát s automatickou obnovou.

Zhrnutie

Platnosť SSL certifikátov sa od marca 2026 skrátila na 200 dní a do roku 2029 klesne na 47 dní. Pre weby s automatickou obnovou je to nepodstatná zmena, pre weby s ručnou správou certifikátov je to skôr otázka času, kedy im certifikát nečakane vyprší. Čím skôr prejdete na automatizáciu, tým pokojnejšie budete spať.