Koniec rocznych certyfikatów SSL! Od marca ważność skrócona do niespełna 200 dni

Branża hostingowa wstrzymuje oddech. Już za nieco ponad miesiąc, 15 marca 2026 roku, wchodzi w życie pierwsza z serii radykalnych zmian w świecie cyberbezpieczeństwa. Maksymalny okres ważności nowo wystawianych certyfikatów SSL/TLS zostanie drastycznie skrócony – z dotychczasowych 398 dni do zaledwie 200 dni (często wdrażanych technicznie jako 199 dni dla bezpieczeństwa). To jednak dopiero początek rewolucji, której finałem ma być ważność na poziomie zaledwie półtora miesiąca.

Dla administratorów stron, firm hostingowych i właścicieli domen nadchodzące tygodnie będą czasem intensywnych przygotowań. Zgodnie z przegłosowaną propozycją (tzw. Ballot SC-081), forsowaną głównie przez Apple przy wsparciu Google, „roczne” certyfikaty odchodzą do lamusa.

Co dokładnie zmienia się 15 marca 2026?

Do tej pory standardem rynkowym był certyfikat ważny przez rok (z technicznym marginesem dającym łącznie 398 dni). Od połowy marca br. żaden zaufany publiczny Urząd Certyfikacji (CA) nie wystawi już takiego dokumentu. Nowy limit to 200 dni.

W praktyce oznacza to, że certyfikat wykupiony „na rok” będzie musiał być technicznie odnowiony (reissue) przynajmniej raz w trakcie trwania okresu abonamentowego. Dla użytkowników korzystających z ręcznej instalacji certyfikatów (np. przesyłanie plików przez FTP, wklejanie kluczy w panelu hostingu) oznacza to podwojenie pracy administracyjnej w skali roku.

Dlaczego 199/200 dni?

Zmiana ta jest podyktowana względami bezpieczeństwa. Krótszy czas życia certyfikatu oznacza:

• Mniejsze ryzyko w przypadku kradzieży klucza – jeśli haker wykradnie klucz prywatny, będzie mógł go używać znacznie krócej.
• Szybsze wycofywanie zaufania – w przypadku pomyłkowego wystawienia certyfikatu lub zmiany właściciela domeny, nieaktualny certyfikat szybciej zniknie z sieci.
• Wymuszenie automatyzacji – giganci technologiczni chcą, aby odnawianie zabezpieczeń odbywało się bez udziału człowieka, co eliminuje błędy ludzkie (np. słynne „wygasłe certyfikaty”, które paraliżowały działanie usług takich jak Spotify czy Microsoft Teams).

To dopiero początek. Cel: 47 dni

Wprowadzany w 2026 roku limit 200 dni to jedynie etap przejściowy, mający dać firmom czas na dostosowanie systemów. Zatwierdzona przez CA/Browser Forum „mapa drogowa” zakłada dalsze cięcia:

• Marzec 2027: Skrócenie ważności do 100 dni.
• Marzec 2029: Docelowy limit wynoszący zaledwie 47 dni.

Docelowo więc, za trzy lata, certyfikaty SSL będą musiały być odnawiane średnio co miesiąc. Ręczne zarządzanie taką infrastrukturą stanie się w zasadzie niemożliwe .

Co to oznacza dla właścicieli stron?

Jeśli Twoja strona korzysta z darmowych certyfikatów (np. Let’s Encrypt), prawdopodobnie nie odczujesz zmiany – one już teraz są ważne 90 dni i odnawiają się automatycznie.

Problem dotyczy głównie firm korzystających z płatnych certyfikatów OV (Organization Validation) i EV (Extended Validation), które często instalowane są manualnie. Właściciele e-sklepów i serwisów korporacyjnych muszą upewnić się, że ich dostawca hostingu lub oprogramowanie serwera wspiera automatyczne odnawianie (np. przez protokół ACME), nawet dla płatnych certyfikatów.

Ważna uwaga: Certyfikaty wystawione przed 15 marca 2026 roku zachowają swoją dotychczasową ważność (do 398 dni). Jeśli więc planujesz zakup lub odnowienie certyfikatu na długi okres, zrobienie tego w lutym lub na początku marca pozwoli Ci „kupić spokój” jeszcze na kolejny rok.