Förnyelse är en schemaläggningsfråga
När ett certifikat går ut i produktion är grundorsaken sällan teknisk. Det är en kalenderpåminnelse som ingen såg, ett cron-jobb på en bortglömd server eller en kollega på semester. sslbrain flyttar ansvaret till en central schemaläggare som känner till varje certifikat ni hanterar och förnyar vart och ett automatiskt, långt innan det blir bråttom.
Så väljs tidpunkten
När CA:n erbjuder ARI (ACME Renewal Information) följer sslbrain CA:ns eget rekommenderade förnyelsefönster. Det betyder att ett certifikat också förnyas tidigt om CA:n ber om det, till exempel inför en återkallelse. Utan ARI förnyar sslbrain när 75 % av giltighetstiden har gått. För ett certifikat med 90 dagars giltighetstid sker det runt dag 67, vilket ger god marginal att upptäcka och åtgärda fel.
Certifikat från en konfigurerad källa förnyas aldrig senare än det inställda antalet dagar före utgångsdatumet, som standard 30 dagar. Oavsett policy gäller dessutom ett skyddsnät: alla certifikat med högst 7 dagar kvar förnyas direkt. Misslyckade förnyelser görs om automatiskt och rapporteras till er medan det gamla certifikatet fortfarande är giltigt.
Redo för 47 dagar
CA/Browser Forum har beslutat att den längsta giltighetstiden ska sänkas stegvis fram till 2029: 200 dagar i dag, 100 dagar 2027 och 47 dagar 2029. Med 50 servrar och certifikat med 47 dagars giltighetstid blir det hundratals förnyelser per år. En central schemaläggare klarar det, hur korta giltighetstiderna än blir. Mer om det på sidan om 47-dagarscertifikat.