Eine Zertifikatsverlängerung ist das rechtzeitige Ausstellen eines neuen Zertifikats, bevor das alte abläuft. Verlängert wird dabei nichts: Es entsteht ein neues Zertifikat, und der Server nimmt es in Betrieb.
- Zertifikatsverlängerung
Das rechtzeitige Ausstellen eines neuen Zertifikats, bevor das alte abläuft.
Beispiel: „Die Zertifikatsverlängerung lief zwei Jahre selbsttätig, bis der DNS-Eintrag umzog.“Bei Let's Encrypt laufen Zertifikate neunzig Tage, erneuert wird nach dreißig verbleibenden. Kommerzielle Anbieter stellen für ein Jahr aus; seit 2020 ist das die Obergrenze.
Abgrenzung zu ACME: Das ist das Protokoll, über das die Erneuerung ohne Zutun läuft. Die Verlängerung ist der Vorgang selbst.
Warum die Zertifikatsverlängerung automatisch laufen muss
Weil die Frist zu kurz für einen Kalendereintrag ist. Neunzig Tage bedeuten viermal im Jahr je Domain, und bei zwanzig Domains ist das Handarbeit, die irgendwann ausfällt.
Eingerichtet ist sie in Minuten: certbot oder acme.sh als Zeitplan, bei Caddy und bei Plattformen wie Forge von Haus aus. Danach bleibt die Prüfung, dass sie wirklich läuft.
Woran eine Zertifikatsverlängerung scheitert
An drei Dingen. Der Nachweis über eine Datei scheitert, wenn eine Weiterleitung den Pfad für die Prüfdatei umlenkt. Der Nachweis über DNS scheitert, wenn der Zugang zum Domainanbieter gewechselt hat.
Der dritte Fall ist die Grenze beim Aussteller: Let's Encrypt begrenzt die Zahl der Zertifikate je Domain und Woche. Wer in einer Fehlerschleife erneuert, läuft dagegen und wartet Tage.
Wie die Zertifikatsverlängerung überwacht wird
Von außen, mit einer Prüfung auf die verbleibenden Tage. Jedes Überwachungswerkzeug kann das; eine Warnung bei vierzehn Tagen gibt genug Luft für eine Störung in der Automatik.
Dazu gehört das Zwischenzertifikat in die Prüfung. Eine Kette, die nach der Erneuerung unvollständig ausgeliefert wird, fällt im Browser nicht auf und auf Telefonen und in Schnittstellen schon.