Fornyelse er et planlægningsproblem
Et certifikat, der udløber i produktion, skyldes sjældent teknik. Det skyldes, at fornyelsen afhang af en kalenderpåmindelse, et script på en glemt server eller en kollega, der var på ferie. sslbrain flytter ansvaret til en central planlægger, der kender alle dine certifikater og fornyer dem automatisk, inden det haster.
Sådan vælges tidspunktet
Tilbyder CA’en ARI (ACME Renewal Information), følger sslbrain CA’ens eget anbefalede fornyelsesvindue. Det betyder, at certifikatet også fornyes tidligere, hvis CA’en beder om det, for eksempel ved en tilbagekaldelse. Uden ARI fornyer sslbrain, når 75% af levetiden er brugt. For et 90-dages certifikat vil det sige efter cirka 67 dage, med god margin til at opdage og rette fejl.
Certifikater fra en konfigureret kilde fornyes aldrig senere end det indstillede antal dage før udløb, som standard 30. Og uanset hvad gælder et sikkerhedsnet: har et certifikat 7 dage eller mindre tilbage, fornyes det med det samme. Fejler en fornyelse, prøver sslbrain igen og giver dig besked, mens det gamle certifikat stadig er gyldigt.
Klar til 47 dage
CA/B Forum har vedtaget, at maksimal levetid trappes ned i tre trin frem mod 2029: 200 dage i dag, 100 dage i 2027 og 47 dage i 2029. Med 50 servere og 47-dages certifikater bliver det flere hundrede fornyelser om året. En central planlægger skalerer med, uanset hvor kort levetiden bliver. Læs mere på siden om 47-dages certifikater.