TLS-sertifikaattien enimmaiskesto on ollut 200 paivaa 15.3.2026 alkaen, laskien 100 paivaan 2027 ja 47 paivaan 2029. Yleisin neuvo on automatisoida uusiminen, ja se on oikea neuvo — mutta se ratkaisee vain osan ongelmasta.
Miksi automaatio ei riita yksin
ACME-protokolla ja sita tukevat asiakasohjelmat hoitavat uusimisen ilman kasityota. Tama toimii moitteettomasti verkkopalvelimilla, joissa on paasy tiedostojarjestelmaan ja joissa haaste voidaan todentaa automaattisesti.
Ongelma on siina, etta organisaation sertifikaatit eivat ole vain verkkopalvelimilla.
Mista sertifikaatteja tyypillisesti loytyy
Inventaario paljastaa useimmissa organisaatioissa sertifikaatteja, joista kukaan ei ollut tietoinen:
- Kuormantasaajat — TLS-terminointi tapahtuu usein siella, ei sovelluspalvelimella
- Testi- ja kehitysymparistot — harvoin automatisoituja, mutta katkos estaa tyon
- Sisaiset palvelut — hallintapaneelit, valvontajarjestelmat, tietokantayhteydet
- IoT-laitteet ja verkkolaitteet — monissa ei ole ACME-tukea lainkaan
- Asiakasvarmenteet ja API-integraatiot — kumppanin paassa vanheneva varmenne katkaisee yhteyden
Naista viimeinen ryhma on hankalin. Laitteet ja jarjestelmat, joihin ACME ei taivu, vaativat joko manuaalisen prosessin kolme kertaa vuodessa tai laitteen vaihtamisen.
Miksi ajoitus on nyt
Vuoteen 2029 mennessa sertifikaatteja uusitaan jopa kahdeksan kertaa useammin kuin aiemmalla 398 paivan kestolla.
Manuaalinen prosessi, joka toimii kerran vuodessa, ei toimi kahdeksan kertaa vuodessa. Se ei epaonnistu kerralla — se epaonnistuu satunnaisesti, ja vanhentunut sertifikaatti kaataa palvelun tayde llisesti ja nakyy kayttajalle turvallisuusvaroituksena.
Portaittainen aikataulu on tassa etu: kolme vuotta on riittavasti aikaa vaihtaa laitteita normaalin elinkaaren mukana sen sijaan etta ne jouduttaisiin vaihtamaan kiireella.
Kaytannon jarjestys
1. Inventoi ennen kuin automatisoit. Automaation rakentaminen tunnetuille jarjestelmille jattaa tuntemattomat riskiksi.
2. Luokittele automatisoitavuuden mukaan. Kolme ryhmaa: automatisoitavissa nyt, automatisoitavissa muutoksella, ei automatisoitavissa.
3. Kolmas ryhma on projekti, ei tehtava. Se vaatii budjettia ja aikataulun.
4. Rakenna valvonta, ala kalenterimerkintaa. Halytyksen pitaa tulla automaattisesti viikkoja ennen vanhenemista.
Muutos on ennakoitu ja portaittainen. Vaikeus on siina, etta se paljastaa organisaatiot, joiden sertifikaattien hallinta on perustunut siihen etta joku muistaa.
