Certyfikaty SSL ważne 200 dni — co zmienia krótszy okres ważności i jak przygotować firmę

Przez lata certyfikat SSL był w firmowym kalendarzu pozycją roczną: zamawiasz, instalujesz, wracasz do tematu za dwanaście miesięcy. Ten rytm właśnie przestał obowiązywać. Od 15 marca 2026 roku maksymalny okres ważności publicznego certyfikatu TLS wynosi 200 dni — i nie jest to decyzja pojedynczego dostawcy, tylko efekt uchwały CA/Browser Forum (ballot SC-081v3, przyjętej w kwietniu 2025 roku), która wiąże wszystkich publicznych wystawców certyfikatów.

Dla administratora oznacza to jedno: proces, który dotąd uruchamiał się raz w roku, musi zacząć działać częściej i bardziej przewidywalnie.

Harmonogram skracania ważności — co już obowiązuje, a co przed nami

Zmiana jest rozłożona na kilka etapów, więc warto znać całą oś czasu, a nie tylko najbliższy termin:

• do 14 marca 2026 — maksymalnie 398 dni ważności,
• od 15 marca 2026 — maksymalnie 200 dni (ponowne użycie walidacji domeny: 200 dni),
• od 15 marca 2027 — maksymalnie 100 dni (walidacja domeny: 100 dni),
• od 15 marca 2029 — maksymalnie 47 dni (walidacja domeny: zaledwie 10 dni).

Skracany jest więc nie tylko sam certyfikat, ale również okres, przez który można ponownie wykorzystać wcześniejszą walidację domeny. W praktyce docelowo oznacza to konieczność potwierdzania kontroli nad domeną niemal na bieżąco, a nie raz na kilkanaście miesięcy.

Roczna usługa to nie to samo co roczny certyfikat

To rozróżnienie jest źródłem większości nieporozumień. Usługa może być rozliczana rocznie, ale sam plik certyfikatu żyje krócej.

Na stronie oferty Sprint Data Center zapisano to wprost: certyfikaty SSL „są oferowane na okres 12 miesięcy i są wystawiane na okres 200 dni, w związku z tym, w trakcie rocznego trwania usługi konieczne będzie wykonanie ponownego wydania certyfikatu (reissue)" (źródło: sprintdatacenter.pl/tanie-certyfikaty-ssl).

Innymi słowy: kupujesz rok ochrony, ale w połowie tego roku musisz wykonać jedną dodatkową czynność — ponowne wydanie i instalację certyfikatu. Jeśli nikt w organizacji nie ma tego zadania w kalendarzu, certyfikat po prostu wygaśnie w środku opłaconego okresu usługi.

Dlaczego to ryzyko operacyjne, a nie formalność

Wygasły certyfikat nie jest drobnym potknięciem wizerunkowym. Konsekwencje są natychmiastowe i widoczne dla wszystkich:

• przeglądarki wyświetlają pełnoekranowe ostrzeżenie o niezaufanym połączeniu, co skutecznie zatrzymuje ruch na stronie i w sklepie,
• przestają działać integracje techniczne — API, webhooki, synchronizacje z systemami partnerów — bo klienty HTTPS odrzucają nieważny certyfikat bez negocjacji,
• cierpi widoczność w wyszukiwarce, dla której szyfrowane połączenie jest standardem,
• w organizacjach objętych wymogami bezpieczeństwa incydent trzeba udokumentować i wyjaśnić.

Przy ważności 398 dni ręczny proces jakoś się bronił. Przy 200 dniach margines błędu jest o połowę mniejszy, a od 2027 roku skurczy się jeszcze bardziej.

Cztery kroki, żeby uporządkować proces

1. Zrób inwentaryzację. Wypisz wszystkie certyfikaty w organizacji — nie tylko ten na stronie głównej. Panele administracyjne, środowiska testowe, serwery pocztowe, aplikacje wewnętrzne i urządzenia sieciowe też ich używają. Certyfikaty, o których nikt nie pamięta, wygasają najczęściej.

2. Wyznacz właściciela. Każdy certyfikat powinien mieć konkretną osobę odpowiedzialną i zapasowy kontakt. Adres e-mail byłego pracownika jako jedyny odbiorca powiadomień o wygaśnięciu to klasyczny scenariusz awarii.

3. Ustaw monitoring z zapasem. Alert na tydzień przed wygaśnięciem to za późno, jeśli certyfikat wymaga weryfikacji danych firmy. Przy 200-dniowej ważności rozsądny pierwszy sygnał to 30 dni wcześniej, z przypomnieniem na 14 i 7 dni.

4. Automatyzuj tam, gdzie to możliwe. Wszędzie, gdzie środowisko na to pozwala, warto oprzeć odnawianie na automatyzacji zamiast na ludzkiej pamięci. Tam, gdzie automatyzacja nie wchodzi w grę — na przykład przy certyfikatach wymagających weryfikacji organizacji — potrzebna jest za to twarda procedura i termin w kalendarzu zespołu.

Pojedynczy, SAN czy wildcard — przy krótszej ważności wybór waży więcej

Im częściej odnawiasz certyfikat, tym bardziej liczy się liczba certyfikatów do obsłużenia. W ofercie Sprint Data Center dostępne są certyfikaty pojedyncze dla jednej domeny, wielodomenowe (SAN) oraz wildcard, obejmujące wszystkie subdomeny jednej domeny (źródło: sprintdatacenter.pl/tanie-certyfikaty-ssl).

Jeśli utrzymujesz kilkanaście subdomen, jeden certyfikat wildcard zamiast kilkunastu osobnych plików to nie tylko kwestia kosztu — to przede wszystkim jeden termin do pilnowania zamiast kilkunastu. Warto też pamiętać o różnicy w czasie wydania: instalacja certyfikatu DV trwa zazwyczaj kilka minut, natomiast certyfikaty OV i EV wymagają weryfikacji danych firmy, więc trzeba zaplanować na nie więcej czasu — szczególnie przy odnowieniu, które wypada w środku sezonu urlopowego.

Jeśli dopiero zaczynasz, warto wrócić do podstaw w naszych wcześniejszych wpisach: czym są certyfikaty SSL oraz jak zainstalować certyfikat SSL.

Podsumowanie

Skrócenie ważności certyfikatów do 200 dni to zmiana, która nie wymaga nowych inwestycji, ale wymaga nowego nawyku. Organizacje, które już dziś zrobią inwentaryzację, przypiszą właścicieli i ustawią alerty z zapasem, przejdą przez kolejne progi — 100 dni w 2027 i 47 dni w 2029 — bez żadnej dramaturgii. Te, które zostaną przy ręcznym pilnowaniu raz w roku, będą wracać do tego tematu w najgorszych możliwych momentach.

Jeśli chcesz uporządkować certyfikaty dla swoich domen, sprawdź ofertę certyfikatów SSL w Sprint Data Center — dobierzemy typ certyfikatu do liczby domen i subdomen, którymi zarządzasz. W razie pytań o wdrożenie skontaktuj się z nami.

FAQ – najczęściej zadawane pytania o ważność certyfikatu SSL

Dlaczego mój certyfikat SSL jest wystawiany na 200 dni, skoro usługę kupiłem na rok?

Ponieważ to dwie różne rzeczy: okres rozliczeniowy usługi i techniczna ważność samego certyfikatu. Od 15 marca 2026 roku publiczne certyfikaty TLS mogą być wystawiane maksymalnie na 200 dni, dlatego w trakcie rocznej usługi konieczne jest ponowne wydanie certyfikatu (reissue) i zainstalowanie go na serwerze.

Czy ponowne wydanie certyfikatu w trakcie roku jest płatne?

Reissue w ramach opłaconego okresu usługi jest elementem tej samej usługi — nie kupujesz drugiego certyfikatu. Osobno rozliczana bywa natomiast pomoc techniczna przy samej instalacji, jeśli z niej korzystasz. Szczegóły warto potwierdzić bezpośrednio przy zamówieniu.

Co się stanie, jeśli przegapię termin ponownego wydania?

Certyfikat wygaśnie, a przeglądarki zaczną blokować połączenie ostrzeżeniem o braku zaufania. Przestaną też działać integracje korzystające z HTTPS. Usunięcie problemu polega na wydaniu i instalacji nowego certyfikatu, ale przestój i utrata zaufania użytkowników już się wydarzą.

Czy skrócenie ważności dotyczy tylko certyfikatów komercyjnych?

Nie. Harmonogram przyjęty przez CA/Browser Forum obowiązuje wszystkich publicznych wystawców certyfikatów, niezależnie od tego, czy certyfikat jest płatny, czy bezpłatny. Różnica polega głównie na tym, że część rozwiązań bezpłatnych od początku była projektowana pod automatyczne, częste odnawianie.

Czy wildcard rozwiązuje problem krótszej ważności?

Nie skraca ani nie wydłuża okresu ważności, ale realnie zmniejsza liczbę terminów do pilnowania. Jeden certyfikat wildcard obejmuje wszystkie subdomeny danej domeny, więc zamiast kilkunastu osobnych odnowień obsługujesz jedno. Przy 200-dniowej ważności to zauważalna różnica organizacyjna.