Kurze Einführung · 1.1
Warum Automatisierung wichtig ist
Öffentliche TLS-Zertifikate sind immer kürzer gültig, und die CAs müssen die Kontrolle über die Domain häufiger prüfen. Eine Erneuerung von Hand einmal im Jahr passt nicht zu diesen Laufzeiten. Bei einer Gültigkeit von 47 Tagen wird ein Zertifikat 8- bis 12-mal pro Jahr erneuert. TLSPilot automatisiert deshalb den gesamten Ablauf, von der Bestellung über das Deployment bis zum Health-Check.
| Ab | Regel | Was das für Sie bedeutet |
|---|---|---|
| CA/Browser Forum, Ballot SC-081: maximale Gültigkeit und Wiederverwendung der Domain-Validierung | ||
| 15.03.2026 | Höchstens 200 Tage Gültigkeit; eine Domain-Validierung darf 200 Tage wiederverwendet werden. | Mindestens zwei Erneuerungen pro Jahr. |
| 15.03.2027 | Höchstens 100 Tage; Wiederverwendung der Domain-Validierung 100 Tage. | Etwa vier Erneuerungen pro Jahr. |
| 15.03.2029 | Höchstens 47 Tage; Wiederverwendung der Domain-Validierung nur 10 Tage. | Praktisch jede Erneuerung braucht eine neue Validierung; der DNS-API-Zugriff oder Port 80 muss deshalb dauerhaft funktionieren. |
| Chrome Root Program | ||
| 15.03.2027 | Jede CA im Chrome Root Store muss für alle ihre Arten von TLS-Zertifikaten eine Automatisierungslösung anbieten. Setzt sie ACME ein, muss sie ARI und die CAA-Erweiterungen aus RFC 8657 (accounturi, validationmethods) unterstützen, siehe Kapitel CAA-Records. | ARI wird bei öffentlichen CAs zum Standard, siehe Kapitel ARI (ACME Renewal Information). |
| Let’s Encrypt | ||
| 04.06.2025 | Keine Ablauf-E-Mails mehr. | Die Überwachung ist Ihre Aufgabe. Verwenden Sie die Alerts von TLSPilot, siehe Kapitel Automatisch erneuern. |
| 06.08.2025 | Kein OCSP: Zertifikate enthalten keine OCSP-URL. Sperrinformationen gibt es nur noch über die CRL. | Clients und Prüfungen müssen ohne OCSP funktionieren. |
| 11.02.2026 | Profil classic ohne die EKU für TLS-Client-Authentifizierung (clientAuth). | Wenn Sie öffentliche Zertifikate auch für die Client-Authentifizierung verwenden, zum Beispiel von Server zu Server oder in manchen VPN- oder SQL-Szenarien, brauchen Sie eine Alternative wie eine interne PKI oder die Enterprise CA (AD CS). |
| 10.02.2027 | classic: 64 Tage Gültigkeit; ab 16.02.2028 45 Tage. | TLSPilot übernimmt das Maximum des Erneuerungsfensters aus dem tatsächlichen Zertifikat, siehe Kapitel Wann die Erneuerung läuft. |