# Wygasł Ci certyfikat SSL i nikt tego nie zauważył. Od marca 2026 będzie się to zdarzać częściej

> Certyfikat, który miał odnowić się sam, potrafi tego nie zrobić. Serwer nadal odpowiada, monitoring dostępności nadal pokazuje zieloną kropkę, a każdy odwiedzający widzi pełnoekranowe ostrzeżenie przeglądarki zamiast Twojej strony. Opisuję, dlaczego tak się dzieje, co dokładnie widzi klient i dlaczego zmiana zasad z marca 2026 sprawia, że ręczne pilnowanie terminów przestaje mieć sens.

Adres strony: https://systembox.pl/blog/wygasly-certyfikat-ssl-monitoring-2026

Autor: Sergiusz Siemak. Opublikowano: 2026-09-02. Kategoria: Bezpieczeństwo. Czas czytania: ok. 6 min.

**Wygasł certyfikat i nikt tego nie zauważył**

Najczęstsza awaria, która nie wygląda jak awaria: serwer działa, monitoring milczy, a strona jest niedostępna dla wszystkich.

Wygasły certyfikat SSL jest szczególnym rodzajem awarii, bo nie zapala żadnej lampki. Serwer działa, aplikacja odpowiada, baza stoi, panel hostingu pokazuje zielone kropki. Zmienia się tylko jedna rzecz: przeglądarka każdego odwiedzającego wyświetla pełnoekranowe ostrzeżenie „Połączenie nie jest prywatne" i trzeba świadomie kliknąć przez kilka ekranów, żeby zobaczyć stronę. W praktyce nikt tego nie robi.

Widziałem niedawno publiczny serwis, przez który przedsiębiorcy składali wnioski, działający w takim stanie przez ponad dwa tygodnie. Nikt po stronie właściciela o tym nie wiedział, bo nikt tego nie sprawdzał, a odwiedzający po prostu zamykali kartę. Nie podaję nazwy, bo mechanizm jest wszędzie ten sam i za chwilę stanie się częstszy.

## Dlaczego automat przestaje działać po cichu

Certyfikaty Let’s Encrypt są ważne 90 dni i odnawiają się automatycznie. To rozwiązanie, które działa świetnie i właśnie dlatego usypia czujność: skoro odnawia się samo, nie ma czego pilnować. Problem polega na tym, że automat jest mechanizmem na serwerze, a mechanizmy na serwerach przestają działać z bardzo prozaicznych powodów.

- Zmiana konfiguracji serwera WWW po aktualizacji, po której zadanie odnawiające nie ma już dostępu do katalogu weryfikacyjnego.
- Migracja na inny hosting, przy której przenoszą się pliki i baza, ale nie zadania cykliczne.
- Wygaśnięcie lub zmiana danych dostępowych do API dostawcy DNS, jeśli weryfikacja odbywa się przez wpis DNS.
- Reguła zapory albo przekierowanie HTTP na HTTPS, które blokuje ścieżkę weryfikacyjną urzędu certyfikacji.
- Wyłączony cron, przepełniony dysk albo zwykły brak miejsca na zapis nowego certyfikatu.

> **Uwaga:** W żadnym z tych przypadków nie dostajesz alertu, bo nic się nie psuje w momencie, w którym mechanizm przestaje działać. Awaria ujawnia się dopiero po upływie ważności, czyli do trzech miesięcy później, kiedy nikt już nie pamięta, co wtedy zmieniano.

## Co dokładnie widzi Twój klient

Warto zobaczyć to raz z drugiej strony, bo różnica między „strona nie działa" a tym, co dzieje się faktycznie, jest istotna dla oceny szkody.

**Zwykła awaria kontra wygasły certyfikat**

Serwer nie odpowiada:
- Przeglądarka pokazuje neutralny błąd połączenia
- Użytkownik zakłada, że to chwilowy problem
- Monitoring dostępności wykrywa to natychmiast
- Zwykle ktoś dzwoni w ciągu godziny
- Wraca po naprawie bez śladu

Wygasły certyfikat:
- Pełnoekranowe czerwone ostrzeżenie o braku prywatności
- Użytkownik zakłada, że strona jest niebezpieczna albo podrobiona
- Prosty monitoring dostępności może tego nie zgłosić
- Trwa tygodniami, bo nikt nie zgłasza
- Zostaje wrażenie, że firma nie panuje nad własnymi systemami

Ta druga kolumna jest kosztowna także wtedy, gdy nikt niczego nie kupował. Ostrzeżenie o braku prywatności czyta się jako sygnał, że coś jest nie tak z firmą, a nie z konfiguracją serwera. Przy stronie, która zbiera dane osobowe przez formularz, dochodzi jeszcze pytanie, na które trzeba umieć odpowiedzieć: czy przez ten czas dane były przesyłane bezpiecznie.

## Od marca 2026 zasady się zmieniły

To jest część, o której większość firm jeszcze nie wie, a która przesądza, dlaczego ręczne pilnowanie terminów przestaje być realną strategią. CA/Browser Forum, czyli organizacja zrzeszająca urzędy certyfikacji i twórców przeglądarek, przyjęła 11 kwietnia 2025 roku uchwałę SC-081v3, która stopniowo skraca maksymalny okres ważności certyfikatów TLS.

**Maksymalna ważność certyfikatu TLS według harmonogramu CA/Browser Forum** (dni)

- do 14.03.2026: 398 dni
- od 15.03.2026: 200 dni
- od 15.03.2027: 100 dni
- od 15.03.2029: 47 dni

Uchwała SC-081v3 przyjęta 11 kwietnia 2025. Daty wejścia w życie: 15 marca 2026, 15 marca 2027 i 15 marca 2029.

Równolegle skraca się okres, przez który można ponownie wykorzystać dane walidacyjne domeny: z 398 dni do 200 od marca 2026, do 100 od marca 2027 i do 10 dni od marca 2029. W praktyce oznacza to, że nie tylko sam certyfikat trzeba wymieniać częściej, ale też częściej potwierdzać, że domena wciąż należy do Ciebie.

> **Info:** Przełożenie na codzienność jest proste. Certyfikat odnawiany dotąd raz w roku trzeba teraz wymieniać dwa razy w roku, od 2027 cztery razy, a od 2029 co półtora miesiąca. Kalendarz i pamięć administratora przestają być tu wystarczającym mechanizmem, i o to w tej zmianie chodziło.

## Co monitorować, żeby to się nie powtórzyło

Kluczowe rozróżnienie brzmi: monitoring dostępności odpowiada na pytanie „czy to działa teraz", a monitoring terminów na pytanie „co przestanie działać za dwa tygodnie". Potrzebne są oba, ale prawie nikt nie ma tego drugiego.

1. Data ważności certyfikatu, sprawdzana codziennie, z alertem na 30, 14 i 7 dni przed. Trzy progi, nie jeden, bo pierwszy alert zwykle ktoś przeoczy.
2. Wynik samego odnowienia, a nie tylko fakt jego uruchomienia. Zadanie może się wykonać i zakończyć błędem. Liczy się data ważności certyfikatu, który faktycznie serwuje serwer.
3. Data wygaśnięcia domeny, osobno od certyfikatu. Domena wygasa raz w roku, nie odnawia się sama i potrafi zniknąć razem z pocztą firmową.
4. Wszystkie subdomeny i serwisy projektowe, nie tylko strona główna. Awarie zaczynają się tam, gdzie ktoś kiedyś postawił coś na boku i o tym zapomniał.
5. Treść odpowiedzi, nie tylko kod HTTP. Strona potrafi zwracać poprawne 200 i jednocześnie wyświetlać komunikat błędu aplikacji.

> Kopia zapasowa, której nikt nigdy nie odtworzył, nie jest kopią zapasową. Alert, którego nikt nigdy nie dostał, nie jest monitoringiem.

Sprawdzenie własnej sytuacji zajmuje minutę i nie wymaga żadnego narzędzia. Wejdź na swoją stronę, kliknij kłódkę w pasku adresu i zobacz datę ważności certyfikatu. Jeśli jest bliżej niż za miesiąc, a nie wiesz, kto i czym go odnawia, to jest dokładnie ta sytuacja, o której jest ten tekst.

> **W praktyce:** Jeśli chcesz, sprawdzę to za Ciebie: prześlij adresy swoich domen i serwisów, a odpiszę, kiedy wygasa każdy certyfikat, czy odnawia się automatycznie i gdzie są luki. Bez opłaty i bez zobowiązania: to jest sprawdzenie publicznie dostępnych danych, nie audyt.

**Źródła**

- Ballot SC-081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods, CA/Browser Forum: https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/
- TLS Certificate Lifetimes Will Officially Reduce to 47 Days: harmonogram 398/200/100/47 dni, DigiCert: https://www.digicert.com/blog/tls-certificate-lifetimes-will-officially-reduce-to-47-days
- Moving to 199-day validity for public TLS certificates, DigiCert Knowledge Base: https://knowledge.digicert.com/alerts/public-tls-certificates-199-day-validity
- Opieka techniczna: monitoring dostępności i certyfikatów, SYSTEMBOX: https://systembox.pl/uslugi/utrzymanie-wdrozenia

## Pytania i odpowiedzi

**Co zrobić natychmiast, gdy certyfikat już wygasł?**

Odnowić go i dopiero potem szukać przyczyny. Jeśli używasz Let’s Encrypt, zwykle wystarczy ręcznie uruchomić odnowienie i sprawdzić, czy zakończyło się sukcesem. Naprawa samego certyfikatu bez naprawy mechanizmu odnawiania oznacza, że ta sama sytuacja wróci za trzy miesiące, a przy nowych zasadach ważności jeszcze szybciej.

**Czy hosting nie pilnuje tego za mnie?**

Część hostingów pilnuje własnych certyfikatów, ale wyłącznie tych, które sami wystawili i wyłącznie na swoich serwerach. Jeśli certyfikat pochodzi z innego źródła, strona stoi na osobnym serwerze albo w grę wchodzi subdomena projektowa, nikt tego nie sprawdza. Panel hostingu pokazuje wtedy, że wszystko działa, bo serwer rzeczywiście odpowiada.

**Czy wygasły certyfikat szkodzi pozycji w Google?**

Bezpośrednio HTTPS jest jednym z wielu sygnałów rankingowych i sam w sobie waży niewiele. Realna szkoda jest inna: użytkownicy, którzy wchodzą i natychmiast wracają do wyników wyszukiwania, oraz zablokowany dostęp dla części botów. Przy dłuższej awarii dochodzi spadek liczby wejść, który widać w statystykach jeszcze długo po naprawie.

**Ile kosztuje monitoring certyfikatów?**

Samo narzędzie do sprawdzania dat jest dostępne w wersjach darmowych i kosztuje kilkadziesiąt złotych miesięcznie w wersjach z alertami. Koszt nie leży w narzędziu, tylko w tym, żeby ktoś odebrał alert i zareagował. Dlatego monitoring ma sens jako element opieki, a nie jako osobna subskrypcja, która wysyła maile do skrzynki, której nikt nie czyta.

**Czy skrócenie ważności do 47 dni oznacza wyższe koszty?**

Nie w przypadku certyfikatów darmowych, bo tam liczy się wyłącznie sprawność automatyzacji. Przy certyfikatach komercyjnych model rozliczenia zwykle pozostaje roczny, zmienia się natomiast liczba wymian w tym okresie. Największym kosztem jest praca: proces, który da się wykonać ręcznie raz w roku, przy sześciu wymianach rocznie musi być zautomatyzowany i nadzorowany.


---

SYSTEMBOX Sergiusz Siemak, Białystok. kontakt@systembox.pl, +48 570 923 234 (pn. do pt. 8 do 17).
Bezpłatna rozmowa 30 min: https://systembox.pl/umow-rozmowe. Jak wyceniam projekty: https://systembox.pl/jak-wyceniam. Cennik opieki IT: https://systembox.pl/opieka-it. Pełny kontekst: https://systembox.pl/llms-full.txt.
Projekty (systemy, integracje, automatyzacje, Recepcja AI) wyceniam indywidualnie po rozmowie. Kwoty opieki IT netto, doliczane 23% VAT.