SSL: dni do wygaśnięcia

Dni do wygaśnięcia certyfikatu SSL to parametr monitoringu stron internetowych, który odczytuje z certyfikatu serwera datę końca ważności i przelicza ją na liczbę pełnych dni pozostałych do tego terminu. Wynik zestawia się z progiem ostrzeżenia: certyfikat daleko od końca ważności, certyfikat bliski wygaśnięcia albo brak odczytu, gdy certyfikatu nie udało się pobrać. Parametr nie ocenia poprawności certyfikatu — to temat artykułu Ważność certyfikatu SSL. Sprawdza, czy odnowienie nastąpiło na czas: protokół ACME zakłada, że klient okresowo kontaktuje się z urzędem certyfikacji po zaktualizowane certyfikaty ^[1].

Jak działa

Wystawienie certyfikatu w ACME ma cztery kroki: złożenie zamówienia, udowodnienie kontroli nad nazwami, finalizację zamówienia żądaniem CSR i pobranie wystawionego certyfikatu ^[1]. Odnowienie powtarza ten przebieg. Let's Encrypt zaleca, by klient bez innych wskazówek odnawiał certyfikat, gdy zostanie mu jedna trzecia okresu ważności, co przy certyfikatach 90-dniowych oznacza odnowienie 30 dni przed końcem ^[3]. Nieudane odnowienie nie powinno być błędem krytycznym: klient ma ponawiać próby z wykładniczo rosnącym odstępem, najwyżej raz na dobę dla certyfikatu ^[3].

RYS. 1.1Cykl życia certyfikatu 90-dniowego

RFC 9773 dodaje do ACME rozszerzenie ARI (ang. ACME Renewal Information). Serwer ogłasza zasób renewalInfo, a dla konkretnego certyfikatu podaje sugerowane okno odnowienia z czasem początku i końca ^[2]. Klient powinien wylosować moment odnowienia w tym oknie ^[2]. Urząd może w ten sposób rozkładać obciążenie, a także poprosić o wcześniejsze odnowienie, na przykład przed masowym unieważnieniem certyfikatów ^[2]. Let's Encrypt zaleca sprawdzanie ARI co najmniej dwa razy dziennie dla każdego certyfikatu ^[3].

W wyzwaniu HTTP-01 klient udostępnia wartość key authorization pod ścieżką złożoną ze stałego przedrostka /.well-known/acme-challenge/ i tokenu ^[1]. Serwer ACME pobiera ją żądaniem GET, które musi trafić na port TCP 80, łączy się z co najmniej jednym adresem z rekordów A i AAAA domeny i powinien podążać za przekierowaniami ^[1].

RYS. 1.2Wyzwanie ACME HTTP-01

Standardy i specyfikacje

• RFC 8555 (ACME) opisuje zamówienie, wyzwania i finalizację; w HTTP-01 walidacja udaje się tylko wtedy, gdy odpowiedź zawiera oczekiwaną wartość key authorization ^[1].
• RFC 9773 (ARI), standard proponowany z 2025 r., definiuje zasób renewalInfo i sugerowane okno odnowienia; klient ma respektować nagłówek Retry-After przy kolejnych zapytaniach ^[2].
• Ballot SC-081v3 CA/Browser Forum przyjęto 11 kwietnia 2025 r.: 25 głosów za wśród wystawców certyfikatów, bez głosów przeciw, i 4 głosy za wśród producentów przeglądarek ^[6]. Harmonogram skraca maksymalny okres ważności certyfikatu publicznego z 398 do 47 dni w latach 2026–2029, a okres ponownego użycia danych walidacji nazw z 398 do 10 dni ^[6]. Daty etapów podaje artykuł Ważność certyfikatu SSL.
• Let's Encrypt wystawia domyślnie certyfikaty 90-dniowe i na życzenie 6-dniowe; udana walidacja domeny jest pamiętana do 30 dni ^[4]. Profil tlsserver przeszedł na 45 dni 13 maja 2026 r., a profil classic przejdzie na 64 dni 10 lutego 2027 r. i na 45 dni z 7-godzinnym ponownym użyciem autoryzacji 16 lutego 2028 r. ^[7]. Stały odstęp odnowienia co 60 dni przestanie wystarczać; zalecane jest ARI albo odnawianie po około dwóch trzecich okresu ważności ^[7].

Zagrożenia i skutki

Koniec powiadomień e-mail. Let's Encrypt przestał wysyłać e-maile o zbliżającym się wygaśnięciu certyfikatu 4 czerwca 2025 r. ^[5]. Jako powody podał upowszechnienie niezawodnej automatyzacji odnowień, ochronę prywatności, bo usługa wymagała przechowywania milionów adresów e-mail powiązanych z wystawieniami, oraz koszt rzędu dziesiątek tysięcy dolarów rocznie ^[5]. Subskrybentom wskazał zewnętrzne usługi monitorowania ^[5]. Nieudane automatyczne odnowienie nie wysyła więc od urzędu żadnego sygnału do właściciela strony.

Zablokowany port 80. HTTP-01 działa wyłącznie na porcie 80 ^[8]. Let's Encrypt zaleca, by każdy serwer ogólnodostępnej strony obsługiwał HTTP na porcie 80 i HTTPS na 443, a zablokowany port 80 wskazuje jako źródło problemów z HTTP-01 ^[9]. Let's Encrypt nie publikuje listy adresów IP używanych do walidacji, adresy mogą się zmienić w dowolnej chwili, a walidacja odbywa się z wielu punktów sieci ^[4]. Reguła firewalla przepuszczająca tylko wybrane adresy albo kraje może więc zablokować walidację, choć strona działa dla odwiedzających.

Przekierowania. Let's Encrypt podąża za najwyżej 10 przekierowaniami i akceptuje tylko przekierowania na schemat http lub https, na port 80 lub 443 ^[8]. Samo przekierowanie z HTTP na HTTPS jest dopuszczalne i zalecane ^[3], ale token musi być dostępny pod adresem docelowym, bo walidacja sprawdza treść odpowiedzi ^[1].

Zmiana DNS i wiele serwerów. Urząd łączy się z adresem z rekordów A lub AAAA domeny, wybranym według własnego uznania ^[1]. Gdy domena wskazuje już nowy serwer albo proxy, a klient ACME działa na starym, token leży tam, gdzie walidator nie zagląda. Przy kilku serwerach plik trzeba udostępnić na każdym z nich ^[8].

Pamięć autoryzacji. Skoro udana walidacja jest pamiętana do 30 dni ^[4], odnowienie może się udać mimo zepsutej walidacji, a problem wyjdzie dopiero przy kolejnym. Przy 7-godzinnym ponownym użyciu autoryzacji ^[7] praktycznie każde odnowienie będzie wymagało nowej walidacji.

Przykłady

Sytuacja	Skutek dla odnowienia	Podstawa
Port 80 zamknięty na firewallu	HTTP-01 nie przechodzi	wyzwanie tylko na porcie 80 [8] [9]
Firewall przepuszcza tylko wybrane adresy lub kraje	walidacja z niepublikowanych adresów odrzucona	walidacja z wielu punktów sieci [4]
Przekierowanie ścieżki wyzwania na port 8443	walidacja przerwana	dozwolone tylko porty 80 i 443 [8]
Domena przeniesiona, klient ACME został na starym serwerze	token niedostępny pod adresem z rekordu A	walidacja łączy się z adresem z DNS [1]
Nieaktualny rekord AAAA	walidator może trafić na serwer IPv6 bez tokenu	wybór adresu należy do urzędu [1]
Certyfikat wieloznaczny	HTTP-01 nie wystarczy, potrzebne DNS-01	rekord TXT pod _acme-challenge [8]
Odnowienie na sztywno co 60 dni przy certyfikacie 45-dniowym	certyfikat wygasa przed odnowieniem	zmiana okresu ważności [7]
Odnowienie nieudane, brak wiadomości od urzędu	nikt nie dostaje ostrzeżenia	koniec powiadomień e-mail [5]