Så förnyar du ett SSL-certifikat: steg för steg-guide för 2026

För att förnya ett SSL-certifikat skapar du ett nytt certifikat för samma domän innan det gamla går ut, installerar det på servern eller plattformen och kontrollerar att det nya utgångsdatumet gäller. Använder du Let's Encrypt gör ett enda kommando (certbot renew) allt detta, och en timer kör det åt dig två gånger om dagen. Har du köpt ett certifikat från en kommersiell CA skapar du en ny CSR, genomför domänvalideringen igen, laddar ner de nya filerna och byter ut dem. Den här guiden täcker båda vägarna, plus hostingpaneler och CDN-tjänster, och visar hur du verifierar att förnyelsen faktiskt lyckades.

Insatserna växer. Sedan den 15 mars 2026 får ingen publik CA utfärda certifikat som gäller längre än 200 dagar, och taket sänks till 47 dagar 2029 (CA/Browser Forum, omröstning SC-081v3, antagen april 2025). Förnyelse är inte längre en syssla en gång om året. Det håller på att bli en löpande process, och det enda realistiska sättet att hänga med är automatisering.

Därför är SSL-förnyelse viktigare än någonsin 2026

Ett utgånget certifikat fallerar inte snällt. Webbläsare blockerar sidan med en helskärmsvarning (NET::ERR_CERT_DATE_INVALID i Chrome), API-klienter misslyckas i TLS-handskakningen, och e-post- och övervakningsintegrationer börjar kasta fel. En enda bortglömd förnyelse slog ut Microsoft Teams i ungefär tre timmar den 3 februari 2020 (TechCrunch), och ett utgånget certifikat i Ericssons utrustning slog ut mobildata för miljontals O2- och SoftBank-kunder den 6 december 2018 (The Register).

Kortare giltighetstider mångfaldigar antalet förnyelser du måste få rätt. Tabellen nedan visar branschens tidplan som varje publik CA måste följa.

Let's Encrypt, som enligt egen uppgift betjänar över 700 miljoner webbplatser och i slutet av 2025 för första gången utfärdade mer än tio miljoner certifikat på en enda dag (Let's Encrypt, 9 december 2025), går snabbare fram än kravet: standardprofilen byter från 90-dagars- till 64-dagarscertifikat den 10 februari 2027 och till 45-dagarscertifikat den 16 februari 2028 (Let's Encrypt, 2 december 2025).

Förnyelser per år för ett certifikat vid respektive maximal giltighetstid (365 delat med giltighetstiden i dagar). Källor: CA/Browser Forum SC-081v3; Let's Encrypt, 2 december 2025. En webbplats med tio certifikat på 47 dagar behöver omkring 78 lyckade förnyelser per år.

Steg 1: Ta reda på hur certifikatet utfärdades

Förnyelsemetoden beror helt på var certifikatet kommer ifrån. Kör detta på servern för att se utfärdare och utgångsdatum:

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -issuer -dates

Raden issuer talar om vilken väg du ska följa.

Steg 2a: Förnya ett Let's Encrypt-certifikat med Certbot

Let's Encrypt-certifikat gäller i dag 90 dagar, och Certbots paketerade timer försöker förnya dem två gånger om dagen men förnyar bara när färre än 30 dagar återstår (Certbots dokumentation). Om en webbplats visar ett utgånget Let's Encrypt-certifikat har automatiseringen alltså misslyckats i minst en månad.

Lista först vad Certbot känner till:

sudo certbot certificates

Testa sedan en förnyelse utan att ändra något:

sudo certbot renew --dry-run

Går testkörningen igenom kör du den riktiga förnyelsen och laddar om webbservern:

sudo certbot renew
sudo systemctl reload nginx

Certbot svarar "Cert not yet due for renewal" om mer än 30 dagar återstår; det är normalt. Vill du förnya i förtid ändå (till exempel efter byte av nyckelstorlek) lägger du till --force-renewal för ett enskilt certifikat med certbot renew --cert-name example.com --force-renewal, men lämna det aldrig kvar i ett cronjobb, eftersom Let's Encrypt begränsar dubblettcertifikat till 5 per vecka.

Kontrollera att timern är aktiv så att detta fortsätter ske utan dig:

systemctl list-timers | grep certbot

Två förändringar sedan 2025 spelar roll här. Let's Encrypt slutade skicka varningsmejl om utgång den 4 juni 2025 och raderade de adresser man hade (Let's Encrypt, 26 juni 2025), så ingen kommer att påminna dig. Och moderna ACME-klienter kan be CA:n om ett rekommenderat förnyelsefönster via ACME Renewal Information (ARI, RFC 9773), som Certbot använder från version 2.9. Håll klienten uppdaterad så att den följer ARI i stället för ett hårdkodat intervall; Let's Encrypt varnar uttryckligen för att förnyelse med fasta 60 dagar inte kommer att fungera när certifikaten blir 45 dagar.

Steg 2b: Förnya ett köpt certifikat (DigiCert, Sectigo, GoDaddy med flera)

Kommersiella certifikat kan inte "förlängas". Förnyelse innebär att CA:n utfärdar ett helt nytt certifikat, så processen speglar den ursprungliga beställningen.

1. Skapa en ny privat nyckel och CSR på servern. Att återanvända den gamla nyckeln är tillåtet men försvagar säkerhetsvinsten med förnyelsen.

openssl req -new -newkey rsa:2048 -nodes -keyout example.com.key -out example.com.csr -subj "/CN=example.com"

1. Skicka in CSR:n i CA:ns portal under Renew eller Reissue. De flesta CA:er låter dig börja 30 till 90 dagar i förväg och för över de återstående dagarna.
2. Genomför domänvalideringen igen. Sedan den 15 mars 2026 får en validering bara återanvändas i 200 dagar, så räkna med en utmaning via e-post, HTTP-fil eller DNS TXT vid nästan varje förnyelse. OV- och EV-certifikat kräver dessutom organisationskontroller; starta dem två veckor i förväg.
3. Ladda ner certifikatet och den mellanliggande kedjan. Saknade intermediate-certifikat ger ERR_CERT_AUTHORITY_INVALID på vissa enheter även när själva certifikatet är korrekt.
4. Installera och ladda om. Byt ut certifikat- och kedjefilerna som serverkonfigurationen pekar på, lägg den nya nyckeln bredvid och ladda om tjänsten. I nginx heter direktiven ssl_certificate och ssl_certificate_key; i Apache SSLCertificateFile och SSLCertificateKeyFile.
5. Uppdatera varje kopia. Lastbalanserare, e-postservrar, CDN-origins och övervakningsprober har ofta en egen kopia av samma certifikat.

Steg 2c: Förnya i hostingpaneler, CDN-tjänster och molnplattformar

Steg 3: Verifiera att förnyelsen verkligen fungerade

Att förnya och att driftsätta är två olika saker. En förnyad fil på disk gör ingenting förrän serverprocessen har läst in den. Bekräfta utifrån:

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -enddate -serial

Datumet notAfter måste vara det nya och serienumret måste skilja sig från det gamla certifikatet. Kontrollera sedan hela kedjan och varje värdnamn (www och ren domän, API-underdomäner, e-postvärdar). En gratis FortifyNet-skanning kontrollerar kedjan, utgångsdatumet, protokollversionerna och HSTS i ett svep, vilket går snabbare än att testa varje värd för hand.

Vanliga fel vid SSL-förnyelse och hur du löser dem

Sätt en förnyelsepolicy du faktiskt kan hålla

Med 200-dagarscertifikat nu och 47-dagarscertifikat 2029 bör en förnyelsepolicy vara tråkig och automatisk. Förnya vid ungefär två tredjedelar av certifikatets giltighetstid, exakt det beteende Let's Encrypt rekommenderar för klienter utan ARI. Kör en övervakning som larmar 14 och 7 dagar före utgång, oberoende av förnyelseverktyget, eftersom felet du behöver fånga är att automatiseringen tyst har slutat fungera. Håll en inventering över varje värdnamn som terminerar TLS, även interna. Och kör testkörningen efter varje servermigrering, PHP-uppgradering eller brandväggsändring, för det är då ACME-utmaningen slutar fungera.

Relaterade guider

• Vad händer när ett SSL-certifikat går ut
• SSL/TLS-certifikatsäkerhet: den kompletta guiden
• Så åtgärdar du "Din anslutning är inte privat"
• Vad är HSTS och varför det spelar roll efter en förnyelse

Vanliga frågor

Hur tidigt kan jag förnya ett SSL-certifikat? Let's Encrypt tillåter förnyelse när som helst, och Certbot gör det automatiskt 30 dagar före utgång. Kommersiella CA:er öppnar vanligtvis förnyelse 30 till 90 dagar i förväg och lägger de oanvända dagarna på det nya certifikatet.

Orsakar förnyelse av ett SSL-certifikat driftstopp? Nej, om du laddar om i stället för att starta om webbservern. Både nginx och Apache läser in det nya certifikatet vid omladdning utan att tappa befintliga anslutningar.

Behöver jag en ny privat nyckel för att förnya? Inte strikt, men att skapa en ny nyckel är bästa praxis. Certbot skapar som standard en ny nyckel vid varje förnyelse.

Kan jag förnya ett certifikat efter att det gått ut? Ja. Förnyelse efter utgång fungerar på samma sätt; den enda skillnaden är att besökarna ser varningar tills det nya certifikatet är installerat.

Hur många gånger om året måste jag förnya från 2029? Med maxgränsen 47 dagar ungefär åtta gånger per certifikat och år, vilket är anledningen till att manuell förnyelse i praktiken håller på att fasas ut.

Kontrollera certifikatet innan det blir en incident

Kör den kostnadsfria FortifyNet-skanningen på din domän. På ungefär 60 sekunder rapporterar den certifikatets utgångsdatum, kedjans giltighet, protokollversioner, säkerhetsheaders, DNS och e-postautentisering, så att en misslyckad förnyelse syns innan dina besökare upptäcker den.