Certificati SSL a 47 giorni: il rinnovo a mano ha i mesi contati

Dal 15 marzo 2026 un certificato SSL pubblico non può durare più di 200 giorni, e il limite continuerà a scendere fino a 47 giorni nel 2029. Se oggi rinnovi i certificati a mano, con un promemoria in calendario una volta l'anno, conviene smettere adesso. La prossima data da segnarsi è il 10 febbraio 2027: da quel giorno Let's Encrypt emette certificati da 64 giorni.

Quando un certificato scade, il browser mette davanti al sito una pagina di avviso a schermo intero e le app che chiamano le API smettono di collegarsi. A volte si ferma anche la posta. Di solito se ne accorge per primo un cliente, perché il rinnovo era compito di qualcun altro.

Il calendario: da 398 a 47 giorni

La durata massima la fissa il CA/Browser Forum, dove siedono le autorità che emettono i certificati e i produttori dei browser. Il ballot SC-081, votato ad aprile 2025, è passato senza voti contrari: 25 autorità a favore, 5 astenute, e il sì di Apple, Google, Microsoft e Mozilla. Lo scopo è limitare i danni di un certificato rubato o emesso per errore, che con una durata più corta resta utilizzabile per meno tempo. Le date, nel riepilogo di DigiCert:

Il primo gradino è già in vigore, e chi ha comprato un certificato «annuale» dopo il 15 marzo se n'è accorto: l'abbonamento dura dodici mesi, il certificato no, e a metà anno va riemesso e reinstallato. Dal 2027 i certificati da installare diventano quattro l'anno. Se il fornitore supporta ACME, anche un certificato a pagamento si può rinnovare da solo.

Let's Encrypt va più veloce del resto del mercato. Oggi emette certificati da 90 giorni, che diventano 64 dal 10 febbraio 2027 e 45 dal 16 febbraio 2028; chi vuole provare i 45 giorni in anticipo può già chiederli con il profilo opzionale tlsserver, attivo dal 13 maggio 2026. Nello stesso calendario si accorcia il periodo per cui una verifica del dominio resta valida: oggi 30 giorni, poi 10, infine 7 ore. In pratica ogni rinnovo dovrà rifare la verifica da capo.

Cosa si rompe per primo

Con 47 giorni i rinnovi diventano circa otto l'anno per ogni dominio, da ripetere su ogni macchina che tiene una copia del certificato. I primi a cedere sono quelli installati a mano su pannelli di gestione, server interni e apparati di rete, dove un rinnovo automatico non è mai stato configurato. Poco dopo vengono gli script di rinnovo impostati anni fa: girano ancora, ma magari su un server che nel frattempo è cambiato, o con un intervallo fisso pensato per i 90 giorni. Se il certificato è stato copiato dal server web al bilanciatore o al server di posta, il rinnovo arriva sul primo e non sul secondo. Le applicazioni che si fidano di un certificato preciso invece che dell'autorità che lo ha emesso smettono di collegarsi al primo rinnovo.

Chi usa Let's Encrypt, poi, dal 4 giugno 2025 non riceve più l'email di avviso prima della scadenza. Se contavi su quella per accorgerti che il rinnovo automatico era fallito, oggi lo scopri dall'errore sul sito.

Come automatizzare il rinnovo

Il rinnovo automatico passa da ACME, il protocollo che usano Let's Encrypt e molte autorità commerciali. Un client sul server, per esempio Certbot, chiede il certificato, dimostra di controllare il dominio, lo installa e lo rinnova prima che scada. Installare il client è la parte facile. Il resto va fatto in quest'ordine:

1. 01L'inventario: tutti i domini e i sottodomini con un certificato e, per ognuno, la macchina dove è installato. Quasi nessuno ce l'ha, e senza non sai cosa controllare.
2. 02Un rinnovo legato alla durata del certificato, non a un intervallo fisso. Let's Encrypt scrive che rinnovare ogni 60 giorni, come fanno molti script, non basterà più. Consiglia ARI, con cui è l'autorità stessa a dire al client quando rinnovare; in alternativa si rinnova a circa due terzi della vita del certificato.
3. 03La distribuzione: se lo stesso certificato serve a più sistemi, il rinnovo deve arrivare a tutti, e i servizi che lo usano vanno riavviati.
4. 04Un controllo esterno che ogni giorno legge la scadenza dei certificati davvero in uso e avvisa con qualche giorno di anticipo. Deve girare altrove: se sta sullo stesso server che rinnova, quando quel server ha un problema tacciono tutti e due.

Su un hosting moderno il sito pubblico spesso è già a posto, e basta verificare che il rinnovo ci sia e funzioni. Il lavoro vero è su gestionali, API interne, apparati e server di posta, cioè la parte della gestione dei sistemi che di solito non ha un responsabile.

Se non sai quanti certificati hai, dove stanno e chi li rinnova, scrivici: partiamo dall'inventario e lasciamo attivo un controllo che ti avvisa prima che la scadenza arrivi ai tuoi clienti.