Näin uusit SSL-sertifikaatin: vaiheittainen opas vuodelle 2026

SSL-sertifikaatti uusitaan luomalla samalle verkkotunnukselle uusi sertifikaatti ennen vanhan vanhenemista, asentamalla se palvelimelle tai alustalle ja varmistamalla uusi vanhenemispäivä. Jos käytät Let's Encryptiä, yksi komento (certbot renew) hoitaa kaiken, ja ajastin suorittaa sen puolestasi kahdesti päivässä. Jos ostit sertifikaatin kaupalliselta varmentajalta (CA), luot uuden CSR-pyynnön, suoritat verkkotunnuksen vahvistuksen uudelleen, lataat uudet tiedostot ja vaihdat ne paikoilleen. Tämä opas kattaa molemmat polut sekä hallintapaneelit ja CDN-palvelut, ja näyttää, miten varmistat, että uusiminen todella onnistui.

Panokset kasvavat. 15. maaliskuuta 2026 alkaen yksikään julkinen varmentaja ei saa myöntää yli 200 päivää voimassa olevaa sertifikaattia, ja vuonna 2029 yläraja laskee 47 päivään (CA/Browser Forumin äänestys SC-081v3, hyväksytty huhtikuussa 2025). Uusiminen ei ole enää kerran vuodessa hoidettava askare. Siitä on tulossa jatkuva prosessi, ja ainoa realistinen tapa pysyä mukana on automaatio.

Miksi SSL-sertifikaatin uusiminen on vuonna 2026 tärkeämpää kuin koskaan

Vanhentunut sertifikaatti ei vikaannu hallitusti. Selaimet estävät sivun koko näytön varoituksella (NET::ERR_CERT_DATE_INVALID Chromessa), API-asiakkaiden TLS-kättely epäonnistuu, ja sähköposti- ja valvontaintegraatiot alkavat heittää virheitä. Yksi unohtunut uusiminen kaatoi Microsoft Teamsin noin kolmeksi tunniksi 3. helmikuuta 2020 (TechCrunch), ja Ericssonin laitteissa vanhentunut sertifikaatti katkaisi mobiilidatan miljoonilta O2:n ja SoftBankin asiakkailta 6. joulukuuta 2018 (The Register).

Lyhyemmät voimassaoloajat moninkertaistavat niiden uusimisten määrän, jotka sinun on saatava onnistumaan. Alla oleva taulukko näyttää toimialan aikataulun, jota jokaisen julkisen varmentajan on noudatettava.

Let's Encrypt, joka oman ilmoituksensa mukaan palvelee yli 700 miljoonaa verkkosivustoa ja myönsi loppuvuodesta 2025 ensimmäistä kertaa yli kymmenen miljoonaa sertifikaattia yhden päivän aikana (Let's Encrypt, 9.12.2025), etenee vaatimuksia nopeammin: sen oletusprofiili siirtyy 90 päivän sertifikaateista 64 päivän sertifikaatteihin 10. helmikuuta 2027 ja 45 päivän sertifikaatteihin 16. helmikuuta 2028 (Let's Encrypt, 2.12.2025).

Uusimiskertoja vuodessa yhdelle sertifikaatille kullakin enimmäisvoimassaololla (365 jaettuna voimassaolopäivillä). Lähteet: CA/Browser Forum SC-081v3; Let's Encrypt, 2.12.2025. Sivusto, jolla on kymmenen 47 päivän sertifikaattia, tarvitsee noin 78 onnistunutta uusimista vuodessa.

Vaihe 1: Selvitä, miten sertifikaattisi on myönnetty

Uusimistapa riippuu täysin siitä, mistä sertifikaatti on peräisin. Aja tämä palvelimella nähdäksesi myöntäjän ja vanhenemispäivän:

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -issuer -dates

Rivi issuer kertoo, mitä polkua seurata.

Vaihe 2a: Uusi Let's Encrypt -sertifikaatti Certbotilla

Let's Encryptin sertifikaatit ovat nykyään voimassa 90 päivää, ja Certbotin mukana asentuva ajastin yrittää uusimista kahdesti päivässä mutta uusii vain, kun jäljellä on alle 30 päivää (Certbotin dokumentaatio). Jos sivusto näyttää vanhentunutta Let's Encrypt -sertifikaattia, automaatio on siis ollut rikki vähintään kuukauden.

Listaa ensin, mitä Certbot tuntee:

sudo certbot certificates

Testaa sitten uusiminen muuttamatta mitään:

sudo certbot renew --dry-run

Jos kuivaharjoitus menee läpi, aja varsinainen uusiminen ja lataa web-palvelin uudelleen:

sudo certbot renew
sudo systemctl reload nginx

Certbot ilmoittaa "Cert not yet due for renewal", jos jäljellä on yli 30 päivää; se on normaalia. Jos haluat silti uusia etuajassa (esimerkiksi avaimen koon vaihdon jälkeen), lisää yhdelle sertifikaatille --force-renewal komennolla certbot renew --cert-name example.com --force-renewal, mutta älä koskaan jätä sitä cron-ajoon, sillä Let's Encrypt rajoittaa kaksoiskappalesertifikaatit viiteen viikossa.

Tarkista, että ajastin on aktiivinen, jotta tämä jatkuu ilman sinua:

systemctl list-timers | grep certbot

Kaksi vuoden 2025 jälkeistä muutosta on tässä olennaista. Let's Encrypt lopetti vanhenemisvaroitusten lähettämisen sähköpostitse 4. kesäkuuta 2025 ja poisti tallentamansa osoitteet (Let's Encrypt, 26.6.2025), joten kukaan ei muistuta sinua. Lisäksi nykyaikaiset ACME-asiakasohjelmat voivat pyytää varmentajalta suositellun uusimisikkunan ACME Renewal Information -laajennuksella (ARI, RFC 9773), jota Certbot käyttää versiosta 2.9 alkaen. Pidä asiakasohjelma ajan tasalla, jotta se noudattaa ARI:a kiinteän aikavälin sijaan; Let's Encrypt varoittaa nimenomaisesti, että kiinteä 60 päivän uusimisväli ei selviä siirtymästä 45 päivän sertifikaatteihin.

Vaihe 2b: Uusi ostettu sertifikaatti (DigiCert, Sectigo, GoDaddy ja muut)

Kaupallisia sertifikaatteja ei voi "jatkaa". Uusiminen tarkoittaa, että varmentaja myöntää kokonaan uuden sertifikaatin, joten prosessi vastaa alkuperäistä tilausta.

1. Luo palvelimella uusi yksityinen avain ja CSR. Vanhan avaimen uudelleenkäyttö on sallittua, mutta heikentää uusimisen turvallisuushyötyä.

openssl req -new -newkey rsa:2048 -nodes -keyout example.com.key -out example.com.csr -subj "/CN=example.com"

1. Lähetä CSR varmentajan portaalissa kohdassa Renew tai Reissue. Useimmat varmentajat sallivat aloittamisen 30 - 90 päivää etukäteen ja siirtävät jäljellä olevat päivät uuteen sertifikaattiin.
2. Suorita verkkotunnuksen vahvistus uudelleen. 15.3.2026 alkaen vahvistusta voi käyttää uudelleen vain 200 päivää, joten varaudu sähköposti-, HTTP-tiedosto- tai DNS TXT -haasteeseen lähes jokaisessa uusimisessa. OV- ja EV-sertifikaatit vaativat lisäksi organisaatiotarkistukset; aloita ne kaksi viikkoa etukäteen.
3. Lataa sertifikaatti ja välivarmenneketju. Puuttuvat välivarmenteet aiheuttavat joillakin laitteilla virheen ERR_CERT_AUTHORITY_INVALID, vaikka itse sertifikaatti olisi kunnossa.
4. Asenna ja lataa uudelleen. Korvaa palvelinasetuksissa viitatut sertifikaatti- ja ketjutiedostot, sijoita uusi avain niiden rinnalle ja lataa palvelu uudelleen. Nginxissä asetukset ovat ssl_certificate ja ssl_certificate_key, Apachessa SSLCertificateFile ja SSLCertificateKeyFile.
5. Päivitä jokainen kopio. Kuormantasaajilla, sähköpostipalvelimilla, CDN-alkuperäpalvelimilla ja valvonta-antureilla on usein oma kopionsa samasta sertifikaatista.

Vaihe 2c: Uusiminen hallintapaneeleissa, CDN-palveluissa ja pilvialustoilla

Vaihe 3: Varmista, että uusiminen todella onnistui

Uusiminen ja käyttöönotto ovat kaksi eri asiaa. Levyllä oleva uusittu tiedosto ei tee mitään ennen kuin palvelinprosessi on ladannut sen. Varmista ulkopuolelta:

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -enddate -serial

Päivämäärän notAfter on oltava uusi ja sarjanumeron on erottava vanhasta sertifikaatista. Tarkista sitten koko ketju ja jokainen isäntänimi (www ja paljas verkkotunnus, API-aliverkkotunnukset, sähköpostipalvelimet). Ilmainen FortifyNet-skannaus tarkistaa ketjun, vanhenemispäivän, protokollaversiot ja HSTS:n yhdellä kertaa, mikä on nopeampaa kuin jokaisen isännän testaaminen käsin.

Yleiset SSL-uusimisen virheet ja niiden korjaukset

Laadi uusimiskäytäntö, jota oikeasti pystyt noudattamaan

Kun sertifikaatit ovat nyt 200 päivän ja vuonna 2029 47 päivän mittaisia, uusimiskäytännön pitää olla tylsä ja automaattinen. Uusi noin kahden kolmasosan kohdalla sertifikaatin voimassaolosta, juuri niin kuin Let's Encrypt suosittelee asiakasohjelmille, joilla ei ole ARI:a. Pidä käytössä valvonta, joka hälyttää 14 ja 7 päivää ennen vanhenemista uusimistyökalusta riippumatta, sillä vika, joka sinun täytyy huomata, on hiljaa pysähtynyt automaatio. Ylläpidä luetteloa jokaisesta TLS:n päättävästä isäntänimestä, myös sisäisistä. Ja toista kuivaharjoitus jokaisen palvelinmigraation, PHP-päivityksen tai palomuurimuutoksen jälkeen, sillä juuri silloin ACME-haaste lakkaa toimimasta.

Aiheeseen liittyvät oppaat

• Mitä tapahtuu, kun SSL-sertifikaatti vanhenee
• SSL/TLS-sertifikaattien tietoturva: täydellinen opas
• Näin korjaat virheen "Yhteytesi ei ole yksityinen"
• Mikä on HSTS ja miksi sillä on väliä uusimisen jälkeen

Usein kysytyt kysymykset

Kuinka aikaisin SSL-sertifikaatin voi uusia? Let's Encrypt sallii uusimisen milloin tahansa, ja Certbot tekee sen automaattisesti 30 päivää ennen vanhenemista. Kaupalliset varmentajat avaavat uusimisen yleensä 30 - 90 päivää etukäteen ja lisäävät käyttämättömät päivät uuteen sertifikaattiin.

Aiheuttaako SSL-sertifikaatin uusiminen käyttökatkon? Ei, jos lataat web-palvelimen uudelleen sen sijaan, että käynnistäisit sen uudelleen. Sekä nginx että Apache lataavat uuden sertifikaatin reload-komennolla katkaisematta olemassa olevia yhteyksiä.

Tarvitsenko uuden yksityisen avaimen uusimiseen? Ei välttämättä, mutta uuden avaimen luominen on parhaiden käytäntöjen mukaista. Certbot luo oletuksena uuden avaimen jokaisessa uusimisessa.

Voinko uusia sertifikaatin sen vanhenemisen jälkeen? Kyllä. Uusiminen vanhenemisen jälkeen toimii samalla tavalla; ainoa ero on, että kävijät näkevät varoituksia, kunnes uusi sertifikaatti on asennettu.

Kuinka monta kertaa vuodessa joudun uusimaan vuodesta 2029 alkaen? 47 päivän enimmäisvoimassaololla noin kahdeksan kertaa sertifikaattia kohden vuodessa, minkä vuoksi manuaalinen uusiminen on käytännössä jäämässä pois.

Tarkista sertifikaattisi ennen kuin siitä tulee häiriö

Aja ilmainen FortifyNet-skannaus verkkotunnuksellesi. Noin 60 sekunnissa se raportoi sertifikaatin vanhenemispäivän, ketjun kelpoisuuden, protokollaversiot, tietoturvaotsakkeet, DNS:n ja sähköpostin todennuksen, jotta epäonnistunut uusiminen paljastuu ennen kuin kävijäsi huomaavat sen.