AI-testklantKennisbank
Kennisbank / Beveiliging / 7.2
Gratis checkUitgebreid rapportGoede praktijk

Je certificaat wordt automatisch vernieuwd voordat het verloopt

Een certificaat heeft een vaste einddatum; laat het automatisch vernieuwen en bewaken, zodat klanten niet ineens een waarschuwing zien in plaats van je site.

Waarom het uitmaakt

Verloopt je certificaat, dan krijgt een klant een waarschuwing in plaats van je site. Staat HSTS aan, dan kan hij er niet langs klikken. Je merkt het zelf mogelijk pas als een klant het meldt.

Certificaten gaan korter mee: nieuwe publiek vertrouwde certificaten mogen sinds 15 maart 2026 hoogstens 200 dagen geldig zijn, vanaf 15 maart 2027 hoogstens 100 dagen en vanaf 15 maart 2029 hoogstens 47 dagen. Handmatig vernieuwen moet daardoor steeds vaker. Het NCSC adviseert het beheer te automatiseren.

Zo is het goed geregeld

  • Je hoster of je server vernieuwt het certificaat automatisch, bijvoorbeeld met het ACME-protocol dat Let's Encrypt en andere uitgevers gebruiken.
  • De vernieuwing gebeurt ruim voor de vervaldatum; Let's Encrypt raadt ARI aan en anders vernieuwen als nog een derde van de looptijd over is.
  • Iemand krijgt een melding als de vernieuwing mislukt, los van de uitgever: Let's Encrypt stuurt sinds 4 juni 2025 geen herinneringsmails meer.
  • Je weet wie het certificaat beheert: je hoster, je websitebouwer of je eigen beheerder.

Zo controleer je het zelf

  1. Klik op het pictogram links van het adres, open de certificaatgegevens en kijk bij 'Geldig tot' hoeveel dagen het certificaat nog geldig is.
  2. Vraag je hoster of websitebouwer of het certificaat automatisch wordt vernieuwd en wie een melding krijgt als dat mislukt.
  3. Heb je zelf een certificaat gekocht en handmatig geïnstalleerd, dan is vernieuwen jouw taak; zet de vervaldatum in je agenda tot de vernieuwing is geautomatiseerd.

Zo los je het op

  1. Vraag je hoster om automatische vernieuwing aan te zetten, bijvoorbeeld via ACME met Let's Encrypt.
  2. Beheer je de server zelf, gebruik dan een ACME-client (het NCSC noemt Certbot) en zet ACME Renewal Information (ARI) aan als je client dat ondersteunt, zoals Let's Encrypt aanbeveelt.
  3. Stel geen vaste vernieuwingstermijn in zoals elke 60 dagen; Let's Encrypt waarschuwt dat zo'n termijn bij kortere certificaten niet meer volstaat.
  4. Zet een bewakingsdienst aan die je waarschuwt als het certificaat bijna verloopt; Let's Encrypt noemt een gratis dienst en verwijst naar meer opties.

Bij certificaten met een korte looptijd is minder dan 30 dagen resterend normaal. Let's Encrypt geeft nu standaard certificaten van 90 dagen uit; op 10 februari 2027 wordt dat 64 dagen en op 16 februari 2028 45 dagen. Een melding betekent dan: controleer of de vernieuwing loopt, niet dat er iets mis is.

Wat de testklant controleert

AI-testklant leest de vervaldatum uit het certificaat dat je server aan elke bezoeker stuurt en meldt het als minder dan een derde van de looptijd over is. Hij kan van buitenaf niet zien of de vernieuwing geautomatiseerd is en scant niet op kwetsbaarheden.

Werkwijze
Alleen openbare gegevens lezen
Zit in
Gratis check en uitgebreid rapport

Bronnen