Utgångna certifikat – den mest onödiga driftstörningen

Det finns få driftstörningar som är så synliga, så kostsamma och så helt förebyggbara som ett utgånget TLS-certifikat. Webbläsaren visar en helsidesvarning, kunder vänder om, integrationer slutar fungera – och felet var känt månader i förväg.

Varför händer det fortfarande?

• Manuell förnyelse. Certifikatet köptes för ett år sedan av någon som inte längre arbetar kvar, och påminnelsen gick till en nedlagd e-postadress.
• Automatik som tyst slutat fungera. Ett förnyelsejobb kör, men misslyckas efter en ändring i DNS, brandvägg eller lastbalanserare – utan att någon märker det.
• Glömda servrar. Certifikatet förnyades på huvudservern men inte på den andra servern bakom samma namn, eller på en äldre underdomän.

Livslängden blir kortare

Branschorganet CA/Browser Forum har beslutat att den maximala giltighetstiden för publika TLS-certifikat ska minska stegvis: till 200 dagar från mars 2026, 100 dagar från mars 2027 och 47 dagar från mars 2029.

Med ett certifikat som gäller i 47 dagar är manuell förnyelse i praktiken inte längre ett alternativ. Automatisering – och övervakning av att automatiseringen faktiskt fungerar – blir nödvändigt.

Så undviker ni det

1. Automatisera förnyelsen. Använd ACME (till exempel Let's Encrypt med certbot) eller er molnleverantörs certifikattjänst.
2. Övervaka utifrån. Kontrollera certifikatet som besökarna faktiskt ser – inte bara det som ligger på servern. Det fångar både misslyckad förnyelse och servrar som missats.
3. Larma i tid. En varning tre veckor innan ger tid att agera; en varning dagen innan ger stress.
4. Inventera alla namn. Kundportaler, webbutiker, API:er och gamla kampanjsidor har ofta egna certifikat.

Så hjälper Värn

Värn kontrollerar certifikatet för varje verifierad webbplats vid varje skanning: att det är giltigt, att kedjan är betrodd, att det matchar värdnamnet och hur många dagar som återstår. Ett fynd skapas när 21 dagar eller färre återstår, och allvarlighetsgraden höjs till Hög vid 7 dagar eller färre. När certifikatet förnyats stängs fyndet automatiskt vid nästa skanning.