Nové zkrácení platnosti TLS certifikátů: Co nás čeká a jak se připravit?

Platnost SSL/TLS certifikátů se v posledních deseti letech opakovaně zkracovala a nyní se objevují plány na další omezení. Konkrétně by to mohlo znamenat výměnu certifikátů každých 45 dní! To by znamenalo správu a obnovu certifikátů až devětkrát ročně! Jak se na tuto změnu připravit, aby nenarušila vaši IT infrastrukturu? Přečtěte si, co vás čeká a jak se efektivně přizpůsobit.

Proč se certifikáty neustále zkracují?

V minulosti mohly být SSL certifikáty platné až pět let, ale postupem času se jejich platnost systematicky zkracovala. Důvodem je zvýšení bezpečnosti uživatelů a eliminace rizika, že by byl stejný kryptografický klíč používán příliš dlouho. Každá změna přinášela nové požadavky na správce IT a administrátory serverů.

Poslední velké zkrácení platnosti proběhlo v roce 2020, kdy se maximální platnost certifikátu omezila na 398 dní. Apple, Google a Mozilla tehdy oznámili, že jejich prohlížeče nebudou akceptovat starší certifikáty, což fakticky přinutilo certifikační autority přizpůsobit se tomuto pravidlu.

Co nás čeká nyní?

Aktuálně Apple přišel s návrhem dalšího zkrácení certifikátů na 47 dní. Tento proces by měl proběhnout ve třech fázích:

• Od března 2026 se platnost zkrátí na 200 dní,
• Od března 2027 na 100 dní,
• A v roce 2028 by měla být maximální platnost už jen 47 dní.

Google původně navrhoval limit 90 dní, ale Apple jde ještě dál. S ohledem na to, že si Apple v minulosti vynutil podobné změny, lze očekávat, že se nová pravidla dříve nebo později stanou realitou.

Jak se připravit na častější obnovu certifikátů?

Ruční správa certifikátů se při tak časté obnově stává neudržitelnou, a proto je nejlepší cestou plná automatizace jejich životního cyklu. Existuje několik řešení, která vám usnadní práci:

• ACME protokol – Standardizovaný protokol, který umožňuje automatickou registraci a obnovu certifikátů prostřednictvím ACME klientů.
• DigiCert Automation Manager – Automatizační nástroj pro organizace, který nabízí kompletní přehled nad správou certifikátů.
• Trust Lifecycle Manager (DigiCert ONE) – Řešení pro větší organizace s možností napojit se na další IT systémy.
• KeyTalk CKMS – Automatizované řešení pro nasazování certifikátů na koncová zařízení.
• Vlastní API integrace – Pokud si chcete ponechat plnou kontrolu, můžete využít API od sslmarket.cz k získání certifikátů a jejich správě na serveru.

Všechna tato řešení vám pomohou eliminovat starosti s častější obnovou certifikátů a zajistit, že vaše servery budou vždy chráněny aktuálním a platným certifikátem.

Hlavní důvody pro kratší certifikáty

Apple a Google argumentují, že častější obměna certifikátů přinese:

• Vyšší bezpečnost – Kratší platnost znamená častější rotaci klíčů, což minimalizuje riziko jejich zneužití.
• Rychlejší nasazení nových technologií – Pokud bude potřeba přejít na bezpečnější algoritmy, certifikáty se obnoví rychleji.
• Podpora automatizace – Kratší platnost nutí firmy implementovat efektivnější správu certifikátů, což vede k dlouhodobému zlepšení bezpečnosti.

Co může být problém?

• Vyšší zátěž správy – Manuální obnova certifikátů bude náročnější a organizace bez automatizace mohou narazit na vážné komplikace.
• Kompatibilita IoT zařízení – Starší zařízení nemusí podporovat častější obnovu certifikátů.

Začněte s automatizací ještě dnes

Nečekejte na poslední chvíli. Kontaktujte nás na sslmarket.cz a rádi vám pomůžeme implementovat řešení, které zajistí bezproblémovou správu certifikátů ve vaší organizaci.