Expiroval nám certifikát
Expiroval certifikát a web je nedostupný. Co teď?
Krátká odpověď
Server běží; spojení odmítl prohlížeč, protože certifikát už není platný. Nejrychlejší cesta zpátky je vydat nový certifikát (u ACME jedním příkazem nebo tlačítkem v hostingu), nasadit ho na všechny servery, které doménu obsluhují, a službu znovu načíst — bez toho si starý certifikát drží v paměti. Druhá polovina práce je zjistit, proč automatická obnova selhala tiše, protože jinak se to zopakuje za několik týdnů.
Co se vlastně děje
Případy, které se dají splést, a jak se liší.
Certifikát má pevnou dobu platnosti a po jejím konci ho prohlížeč odmítne, i když je server v pořádku a klíč nikdo neukradl.
Výpadek obvykle nevznikne tím, že by na obnovu nikdo nemyslel, ale tím, že automatická obnova přestala procházet: zavřela se ověřovací cesta na webu, vypršelo oprávnění k DNS, služba pro obnovu se po aktualizaci nespustila. Nic z toho nic nehlásí, dokud je certifikát platný.
Let’s Encrypt navíc 4. 6. 2025 přestala posílat e-maily o blížícím se vypršení. Komu obnovu hlídal právě tento e-mail, zůstal bez hlídače.
Maximální platnost certifikátů se navíc zkracuje — podle plánu CA/Browser Forum má být od 15. 3. 2027 sto dní (stav k 22. 10. 2026). Ruční obnova se tím stává neudržitelnou.
Jak zjistíte, o co jde
Projděte to v tomto pořadí, než začnete něco měnit.
- 01Zjistěte, co server opravdu posílá, ne co má v konfiguraci. Datum platnosti si vyžádejte přímo ze spojení.
- 02Podívejte se do protokolu služby, která obnovu provádí. Hledáte poslední úspěšnou obnovu a první selhání — mezi nimi je příčina.
- 03Vyzkoušejte, že ověřovací cesta „/.well-known/acme-challenge/“ je dostupná zvenčí a není přesměrovaná.
- 04Ověřte, kolik serverů doménu obsluhuje. Když má web load balancer, musí mít nový certifikát každý z nich.
Jak to Tegmia měří
Co přesně kontrola dělá — a co z této situace nezměří.
- Z certifikátu přečteného při TLS spojení bereme datum platnosti a počítáme zbývající dny.
- Po vypršení hlásíme tls.cert_expired s kritickou závažností a s datem, kdy platnost skončila.
- Pod osminou doby, na kterou je certifikát vystavený (nejvýš 14 dní), hlásíme tls.cert_expiring_soon s vysokou závažností, pod čtvrtinou (nejvýš 30 dní) tls.cert_expiring_30d s nízkou. Certifikát na 64 dní, jaké vydává Let’s Encrypt od 10. 2. 2027, tak při denní kontrole dostane první upozornění až 15 dní před koncem, ne v každém cyklu obnovy. Kde kontrola běží jen jednou za 30 dní (tarif Start), hlásíme dřív: když do konce zbývá méně než 30 dní, u certifikátu kratšího než 60 dní méně než polovina jeho platnosti. Upozornění tak přijde před vypršením až na výjimky. U certifikátů kratších než 60 dní může při takto řídké kontrole připadnout mezi dva běhy.
- Měříme zvenčí, ze stejné pozice jako prohlížeč návštěvníka. Hlídání tím nestojí na stejném systému, který obnovu provádí.
Co tím nezměříme
- Nevidíme do vaší automatické obnovy. Poznáme blížící se konec platnosti, ne selhání obnovy.
- Nehlídáme certifikáty na jiných portech než 443 ani na subdoménách, které nejsou v účtu zvlášť.
- Certifikát za vás nevydáme ani nenasadíme. Nejsme certifikační autorita ani správce vašich serverů.
Pravidla, která se k tomu váží
Přímo z katalogu zjištění. Stejný text uvidíte i v hlášení.
Certifikát už není platný
Kritickétls.cert_expired · Certifikát a TLS
Prohlížeče na takovém webu zobrazí varovnou stránku. Zákazníci web většinou opustí a platby přes něj neprojdou.
Co udělat: Obnovte certifikát u poskytovatele hostingu nebo zapněte automatickou obnovu (ACME / Let’s Encrypt). Po obnově ověřte, že se nový certifikát nasadil na všechny servery za load balancerem.
Výchozí závažnost kritické: Řešte hned. Chyba je zneužitelná zvenčí nebo už službu rozbíjí. Celé pravidlo v katalogu
Certifikát vyprší za méně než 14 dní
Vysokétls.cert_expiring_soon · Certifikát a TLS
Pokud automatická obnova selže, web během dvou týdnů přestane fungovat. Většina výpadků HTTPS vzniká právě takto.
Co udělat: Zkontrolujte, že automatická obnova běží a má přístup k doméně. Pokud certifikát obnovujete ručně, naplánujte obnovu do konce tohoto týdne.
Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu
Certifikát vyprší za méně než 30 dní
Nízkétls.cert_expiring_30d · Certifikát a TLS
Zatím nic nehoří. Je to ale okamžik, kdy má smysl ověřit, že obnova proběhne sama.
Co udělat: Ověřte funkčnost automatické obnovy. Žádná okamžitá akce není potřeba.
Výchozí závažnost nízké: Doladění. Bez bezprostředního rizika, zlepší to celkový stav. Celé pravidlo v katalogu
Typická chybná konfigurace
Obnova v kalendáři jednoho člověka. Funguje, dokud má ten člověk čas — a se zkracující se platností se termín vrací několikrát do roka místo jednou.
Druhý stav: automatická obnova je nastavená, ale ověřovací cesta se zavřela při změně přesměrování nebo po zapnutí ochrany před roboty. Obnova od té doby selhává a pozná se to až podle varovné stránky v prohlížeči.
Jak to opravit
Konkrétní kroky v pořadí, ve kterém mají smysl.
- 01Vydejte nový certifikát. U ACME to bývá jeden příkaz nebo jedno tlačítko v hostingu.
- 02Nasaďte ho na všechny servery, které doménu obsluhují, a službu znovu načtěte. Bez znovunačtení běží starý certifikát dál.
- 03Zkontrolujte, co server po opravě skutečně posílá, a to pro variantu s www i bez www.
- 04Najděte příčinu selhání obnovy v protokolu a opravte ji: zpřístupněte ověřovací cestu, obnovte oprávnění k DNS, nastartujte službu pro obnovu.
- 05Vyzkoušejte obnovu nasucho mimo poslední týden platnosti. Jediný spolehlivý test obnovy je obnova.
- 06Nechte si hlídat zbývající dny zvenčí, nezávisle na systému, který obnovu dělá.
Jak to vypadá
Hodnoty tak, jak je uvidíte.
Co server opravdu posílá
openssl s_client -connect vasedomena.cz:443 -servername vasedomena.cz </dev/null \ | openssl x509 -noout -subject -issuer -dates
Zkontrolovat to na své doméně
Čteme jen to, co doména zveřejnila.
Sken přečte veřejné záznamy a konfiguraci domény a ukáže, co z této situace platí u vás. Výsledek dostanete s důkazem, ze kterého jsme vycházeli.
Související kontroly
- Kontrola platnosti certifikátu
Kdy certifikát vyprší, jak dlouho dopředu hlídáme podle doby jeho platnosti a co se změní se zkracováním maximální platnosti.
- Kontrola SSL certifikátu
Co se dá o certifikátu zjistit jedním TLS spojením: vydavatel, doménová jména, síla klíče, verze protokolu.
- Kontrola CAA záznamu
CAA říká, která autorita smí vystavit certifikát pro vaši doménu. Jak ho přečteme a jak ho nastavit.
Naposledy upraveno 3. listopadu 2026. Stránku píšeme ručně a opravujeme ji, když se změní to, co měříme. Našli jste tu chybu? Napište na kontakt.