SSL-certifikatet har gått ut: vad som händer och hur du åtgärdar det

Ett utgånget SSL-certifikat betyder att certifikatet som bevisar din webbplats identitet har passerat sitt utgångsdatum, och då slutar webbläsarna att lita på det omedelbart. Besökare möts av en varningssida i helskärm, som NET::ERR_CERT_DATE_INVALID, i stället för ditt innehåll. API-klienter och mobilappar slutar fungera helt, och trafiken rasar tills certifikatet är utbytt. Lösningen är att förnya eller återutfärda certifikatet, installera den nya fullständiga kedjan på varje server som terminerar TLS och ladda om tjänsterna; med en automatiserad ACME-uppsättning tar det några minuter. I den här guiden ser du hur du kontrollerar utgångsdatumet, åtgärdar ett utgånget certifikat steg för steg och ser till att det aldrig händer igen.

Vad besökarna ser när ditt SSL-certifikat har gått ut

Webbläsare nämner inte problemet diskret i ett hörn. De ersätter hela din sida med en varningsskärm, och besökaren måste leta sig fram via en "Avancerat"-meny för att alls komma vidare. Formuleringen skiljer sig mellan webbläsarna:

Varningarna är så vanliga att de kan mätas i stor skala. I den största publicerade studien av certifikatvarningar analyserade forskare från Google och Carnegie Mellon över 300 miljoner varningsrapporter från Chrome och kom fram till att 4,23 % av varningarna på Windows berodde på datumfel i certifikat (Acer m.fl., ACM CCS 2017). Utgångna certifikat är HTTPS-världens vanligaste vardagsfel, och själva varningssidan är ofta den första signal ägaren får.

Mer än startsidan slutar fungera

Varningen i webbläsaren är bara den synliga delen. De tysta felen kostar oftast mer:

• API:er och webhooks stannar tvärt. Maskinklienter har ingen "Avancerat"-knapp. Betalningsanrop, mobilappar, partnerintegrationer och övervakningsagenter vägrar anslutningen i samma sekund som certifikatet går ut.
• HSTS tar bort nödutgången. Om din webbplats skickar HSTS-headern döljer webbläsaren länken "fortsätt ändå" helt. Besökare kan inte klicka sig förbi ens om de vill.
• E-post och interna verktyg stannar. TLS för SMTP, IMAP och adminpaneler slutar fungera lika abrupt, och det är just de certifikaten ingen håller ögonen på.
• Förtroendet urholkas snabbast. Ett företag med utgånget certifikat på sin egen sajt är en motsägelse som besökare kommer ihåg. Sökmotorer ser samma varningsläge, och konverterande sidor tappar sin trafik så länge varningen står kvar.

Tre kända driftstopp orsakade av ett enda utgånget certifikat

Certifikatutgång är inget småföretagsproblem. Några av det senaste decenniets dyraste driftstopp orsakades av exakt detta:

Lärdomen är obekväm: dessa företag har ingenjörer i världsklass, och certifikatet gick ut ändå. Förnyelse är ett processproblem, inte ett kompetensproblem, och en kalenderpåminnelse i någons inkorg är ingen process.

Så kontrollerar du när certifikatet går ut

Tre sätt, från snabbast till grundligast:

1. I webbläsaren. Klicka på hänglåset eller inställningsikonen i adressfältet, öppna "Anslutningen är säker" och sedan "Certifikatet är giltigt". Detaljpanelen visar den exakta giltighetsperioden.

2. Från kommandoraden. Fråga det aktiva certifikatet med OpenSSL:

openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates

Utdata visar notBefore och notAfter; den andra raden är din deadline.

3. Kontrollera hela kedjan, inte bara ditt eget certifikat. Även mellanliggande certifikat och rotcertifikat går ut. När rotcertifikatet AddTrust External CA Root gick ut den 30 maj 2020 slutade tjänster med helt giltiga servercertifikat att fungera världen över, bland annat Roku-enheter och flera betalplattformar. En extern skanning som validerar hela kedjan fångar det som en snabbtitt på det egna certifikatet missar.

Så åtgärdar du ett utgånget SSL-certifikat, steg för steg

Steg 1: bekräfta att utgången verkligen är orsaken. Kör OpenSSL-kommandot ovan och läs notAfter. Är certifikatet i själva verket giltigt är det besökarens klocka som går fel, och då behöver inget på servern åtgärdas.

Steg 2: förnya eller återutfärda. Med Let's Encrypt eller en annan ACME-klient är förnyelsen ett enda kommando (sudo certbot renew), och en testkörning (sudo certbot renew --dry-run) berättar i förväg om valideringen kommer att lyckas. Hos en kommersiell CA skapar du en ny CSR i kontrollpanelen och genomför valideringen där.

Steg 3: installera den fullständiga kedjan överallt där TLS termineras. Det nya certifikatet måste nå varje ändpunkt som talar TLS för domänen: ursprungsservrar, lastbalanserare och CDN-kanten. Använd fullchain.pem (servercertifikat plus mellanliggande certifikat), inte enbart servercertifikatet, annars byter du ett datumfel mot ett kedjefel.

Steg 4: ladda om tjänsten. En förnyad fil på disken ändrar ingenting förrän servern läser in den igen. Kör sudo systemctl reload nginx (eller motsvarande för Apache, HAProxy eller din plattform). Detta är det enskilt vanligaste felet i "automatiserade" upplägg: förnyelsejobbet fungerar perfekt, men ingen omladdningshook konfigurerades, så servern fortsätter servera det gamla certifikatet från minnet.

Steg 5: verifiera utifrån. Kontrollera från en mobil på mobildata, en ny webbläsarprofil eller en extern skanner. Certifikat har ingen spridningsfördröjning: i samma ögonblick som servern laddats om får varje ny anslutning det nya certifikatet.

Förnyelsen blir snart obeveklig

Om förnyelse känns hanterbar i dag håller schemat på att ändras under fötterna på dig. Enligt CA/Browser Forums beslut SC-081v3, antaget i april 2025 med röstsiffrorna 29-0, sjönk den längsta tillåtna livslängden för publika TLS-certifikat från 398 till 200 dagar den 15 mars 2026, faller till 100 dagar den 15 mars 2027 och landar på 47 dagar den 15 mars 2029 (CA/Browser Forum). Let's Encrypt har redan gått längre: i december 2025 meddelade de att standardlivslängden sänks från 90 till 45 dagar, och deras sexdagarscertifikat blev allmänt tillgängliga den 15 januari 2026.

Certifikatlivslängder som erbjuds och tillåts 2026. Källor: CA/Browser Forum, beslut SC-081v3; Let's Encrypt.

Riktningen är enkelriktad: förnyelser som förr skedde en gång om året kommer snart att ske var sjätte till sjunde vecka, och för kortlivade certifikat med några dagars mellanrum. Manuell förnyelse överlever inte det schemat. Automatisering slutar vara trevlig att ha och blir det enda sättet att hålla ett certifikat giltigt.

Så ser du till att ett certifikat aldrig går ut igen

• Automatisera utfärdande och förnyelse med ACME, och konfigurera den deploy-hook som laddar om webbservern efter varje förnyelse.
• Övervaka utgångsdatum utifrån. En extern kontroll fångar varje certifikat som ett förnyelseskript tyst hoppat över. Larma 30, 14 och 7 dagar före utgång.
• Inventera varje certifikat, inte bara huvudsajten: API-underdomäner, e-postservrar, staging-miljöer och interna paneler går ut enligt sina egna scheman.
• Behandla förnyelse som en driftsättning. Den förändrar vad produktionen serverar och förtjänar samma verifieringssteg som en kodrelease.

Relaterade guider

• SSL/TLS-certifikatens säkerhet: kompletta guiden till A+-betyg täcker protokoll, kedjor och konfiguration bortom utgångsdatum.
• "Din anslutning är inte privat": vad felet betyder och hur du åtgärdar det förklarar varningssidan dina besökare ser just nu.
• ERR_CERT_AUTHORITY_INVALID: vad felet beror på och hur du åtgärdar det hanterar kedjefelen som ofta dyker upp direkt efter en stressad förnyelse.
• Vad är HSTS? förklarar varför vissa besökare inte kan klicka sig förbi certifikatvarningar alls.

Vanliga frågor

Kan besökare fortfarande öppna min sajt medan certifikatet är utgånget? I de flesta webbläsare kan de klicka sig vidare via en "Avancerat"-meny, men majoriteten gör det inte, och om sajten skickar HSTS tar webbläsaren bort det alternativet helt. API-klienter och appar vägrar anslutningen direkt.

Skadar ett utgånget SSL-certifikat min SEO? Indirekt, ja. Sökmotorernas robotar ser samma ogiltiga certifikat, besökare studsar på varningssidan, och HTTPS är en bekräftad rankingsignal. Ju längre varningen står kvar, desto mer trafik och förtroende förlorar du.

Hur lång tid tar åtgärden? Med ACME-automatisering på plats: minuter. Förnya, ladda om, verifiera. Det finns ingen spridningsfördröjning, eftersom det nya certifikatet serveras till varje ny anslutning direkt efter omladdningen.

Varför gick mitt certifikat ut trots att automatisk förnyelse var på? De vanligaste orsakerna: förnyelsen kördes men ingen omladdningshook var konfigurerad, så det gamla certifikatet låg kvar i minnet; valideringen misslyckades tyst efter en DNS- eller brandväggsändring; eller så täckte förnyelsen ett annat värdnamn än certifikatet som faktiskt gick ut.

Spelar utgångna certifikat på interna verktyg någon roll? Ja. Interna certifikat och API-certifikat fallerar på samma sätt som publika, och de bevakas mindre. Flera av incidenterna i den här artikeln började med ett certifikat som ingen hade inventerat.

Kontrollera dina certifikat innan besökarna gör det

Ett utgångsdatum förhandlar aldrig. Kör en gratis FortifyNet-skanning och se certifikatets exakta utgångsdatum, hela kedjan, protokollkonfigurationen, säkerhetsheaders, DNS och e-postautentisering på cirka 60 sekunder. Ingen registrering krävs.

---

Källor: CA/Browser Forum, beslut SC-081v3; Let's Encrypt, Certificate Lifetimes; Let's Encrypt, sexdagarscertifikat GA; The Register om Ericsson-avbrottet; TechCrunch om Teams-avbrottet; Data Center Dynamics om Spotify-avbrottet; Acer m.fl., "Where the Wild Warnings Are", ACM CCS 2017.