SSL certifikát vypršel. Proč se to stalo a jak to opravit

Ověřte, že jde opravdu o expiraci

Klikněte v prohlížeči na varování a zobrazte podrobnosti certifikátu. Zajímá vás datum „Platnost do“ a název domény, pro kterou je certifikát vydaný. Z terminálu:

echo | openssl s_client -connect vasweb.cz:443 -servername vasweb.cz 2>/dev/null | openssl x509 -noout -dates -subject

Když datum ještě neuplynulo, ale certifikát je vydaný pro jinou doménu, nejde o expiraci. Server posílá cizí certifikát, typicky po stěhování webu nebo když doména chybí v nastavení hostingu.

Proč se certifikát neobnovil

Certifikáty Let’s Encrypt a dalších bezplatných autorit se obnovují automaticky, ale jen když projde ověření domény. Nejčastější důvody, proč neprojde:

• Doména už nemíří na server, který certifikát obnovuje. Typicky po změně DNS nebo přechodu na Cloudflare.
• Přístup k ověřovacímu souboru v /.well-known/acme-challenge/ blokuje přesměrování, firewall nebo pravidlo v .htaccess.
• Na serveru přestal běžet plánovač, který obnovení spouští.
• U placeného certifikátu neprošla platba nebo nikdo nepotvrdil ověřovací e⁠-⁠mail.

Jak certifikát obnovit

1. Na sdíleném hostingu otevřete administraci a v sekci SSL certifikát znovu vystavte. Pokud selže, hosting obvykle napíše proč.
2. Na vlastním serveru s certbotem spusťte sudo certbot renew a přečtěte si chybu.
3. Pokud používáte Cloudflare, zkontrolujte režim SSL. Režim Full (strict) potřebuje platný certifikát i na původním serveru.
4. Po obnovení otevřete web v anonymním okně a znovu zkontrolujte datum.

Certifikáty budou platit kratší dobu

Podle pravidel organizace CA/Browser Forum smí veřejný certifikát od 15. března 2026 platit nejvýš 200 dní, od března 2027 100 dní a od března 2029 jen 47 dní. Let’s Encrypt plánuje zkrátit svých 90 dní na 64 dní v roce 2027 a na 45 dní v roce 2028.

Ruční obnovování proto přestává dávat smysl a automatické obnovení se bude spouštět častěji. Každé obnovení je příležitost k chybě, takže nezávislé hlídání expirace má větší cenu než dřív.