SSL-certificaten worden steeds korter geldig: wat betekent dat voor uw website?

Het slotje in de adresbalk is zo gewoon geworden dat bijna niemand er nog naar kijkt. Tot het ontbreekt. Een verlopen SSL-certificaat geeft bezoekers een paginagrote waarschuwing dat de verbinding niet veilig is, en de meeste mensen klikken dan weg. De kans dat dit gebeurt, wordt de komende jaren groter, omdat certificaten steeds korter geldig worden. In dit artikel leest u wat er verandert en hoe u zorgt dat het u niet overkomt.

Wat is er afgesproken?

De grote browsermakers en de partijen die certificaten uitgeven, verenigd in het CA/Browser Forum, hebben in 2025 besloten de maximale geldigheid van certificaten in stappen te verkorten:

• vanaf 15 maart 2026: maximaal 200 dagen;
• vanaf 15 maart 2027: maximaal 100 dagen;
• vanaf 15 maart 2029: maximaal 47 dagen.

Tot voor kort kon u een betaald certificaat voor ruim een jaar kopen. Dat is voorbij. Wie nu een certificaat koopt, krijgt een kortere looptijd en moet vaker vernieuwen.

Waarom doen ze dit?

Een certificaat bewijst dat de website echt bij uw domein hoort. Als zo’n certificaat lang geldig is, blijft een fout of misbruik ook lang bestaan: een certificaat dat in verkeerde handen is gekomen, of een domein dat inmiddels van iemand anders is. Kortere looptijden beperken die schade. Daarnaast dwingt het iedereen om het vernieuwen te automatiseren, en automatisch vernieuwen gaat minder vaak mis dan een mens die eens per jaar een herinnering krijgt.

Wat betekent het voor u?

Gebruikt u Let’s Encrypt of een gratis certificaat van uw hosting?

Dan merkt u waarschijnlijk weinig. Let’s Encrypt-certificaten zijn al jaren 90 dagen geldig en worden automatisch vernieuwd door het hostingpaneel, zoals Plesk, cPanel of DirectAdmin. Let’s Encrypt heeft aangekondigd de looptijd de komende jaren zelf ook verder te verkorten, maar zolang het automatisch vernieuwen werkt, verandert er voor u niets.

Let wel op één ding: Let’s Encrypt stuurt sinds medio 2025 geen e-mails meer als een certificaat bijna verloopt. Ging u op die mails af als waarschuwing, dan valt dat vangnet weg.

Koopt u een betaald certificaat en installeert u dat met de hand?

Dan wordt het werk meer. Bij 200 dagen vernieuwt u bijna twee keer per jaar, bij 47 dagen ongeveer acht keer. Met de hand is dat foutgevoelig. Vraag uw hostingpartij of certificaatleverancier of het vernieuwen te automatiseren is, of overweeg over te stappen op een automatisch certificaat. Voor de meeste bedrijfswebsites geeft een gratis Let’s Encrypt-certificaat precies dezelfde versleuteling als een betaald certificaat.

Waar het in de praktijk misgaat

Automatisch vernieuwen werkt meestal goed, tot er iets aan de omgeving verandert. De bekendste oorzaken:

• De DNS wijst niet (meer) naar de server, bijvoorbeeld na een verhuizing of na het toevoegen van een CDN. Het vernieuwen faalt dan stil.
• Een subdomein of www-variant is vergeten, waardoor het certificaat wel geldt voor uwdomein.nl maar niet voor www.uwdomein.nl.
• Een beveiligingsregel blokkeert de controle: de map .well-known is afgeschermd, of een firewall weigert de controleaanvraag.
• Andere diensten op uw domein, zoals een mailserver of een losse webshop op een subdomein, hebben een eigen certificaat dat niemand in de gaten houdt.

Wat er gebeurt als het toch verloopt en hoe u het snel herstelt, leest u in ons artikel over een verlopen SSL-certificaat.

Zo houdt u het onder controle

1. Kijk wanneer uw huidige certificaat verloopt. Klik in de browser op het slotje en open de certificaatgegevens. Staat er een datum die over een jaar of later valt, dan is het waarschijnlijk een met de hand geïnstalleerd certificaat.
2. Vraag uw hosting of het automatisch wordt vernieuwd, en voor welke domeinnamen en subdomeinen precies.
3. Zet een externe controle op de vervaldatum. Veel monitoringdiensten waarschuwen een paar weken van tevoren als een certificaat bijna verloopt. Zo weet u het voordat uw bezoekers het zien. Meer daarover in ons artikel over uptime-monitoring.

Wat u zelf doet en wanneer u hulp inschakelt

De vervaldatum opzoeken en uw hostingpartij een vraag stellen, kunt u zelf. Het automatisch vernieuwen goed inrichten voor alle domeinen en subdomeinen, en een controle die waarschuwt voordat het misgaat, nemen wij mee in onze websitebeveiliging. In ons onderhoud bewaken wij de certificaten, zodat een verlopen slotje niet de reden wordt dat een bezoeker afhaakt.