Blog · 7 listopada 2026 · 8 min czytania

Certyfikat SSL wygasa: co zobaczą klienci, jak sprawdzić datę i jak to się nie powtórzy

O północy certyfikat traci ważność i strona, która działała przez trzy lata, zamienia się w czerwone ostrzeżenie na cały ekran. Serwer dalej chodzi, panel hostingu świeci na zielono, a klienci odbijają się od drzwi, bo przeglądarka mówi im, że to miejsce jest niebezpieczne. Poniżej: co dokładnie widzą, dlaczego automatyczne odnawianie zawodzi, jak w minutę sprawdzić datę ważności i co zrobić, żeby ten tekst już nigdy Cię nie dotyczył – zwłaszcza że certyfikaty właśnie zaczęły być ważne coraz krócej.

Co się dzieje minutę po wygaśnięciu

• Klient widzi ostrzeżenie zamiast strony. Chrome pokazuje „Twoje połączenie nie jest prywatne” z kodem NET::ERR_CERT_DATE_INVALID, Firefox i Safari mają własne, równie czerwone wersje. Przycisk „przejdź mimo to” jest schowany pod „Zaawansowane”, a na telefonie bywa, że nie da się go znaleźć wcale. Większość ludzi robi to, co każe przeglądarka: wychodzi.
• Nic innego nie wygląda na zepsute. Strona odpowiada, serwer ma wolne zasoby, a proste narzędzia do sprawdzania dostępności często pytają tylko „czy serwer odpowiada” i wcale nie patrzą na certyfikat. Awaria trwa dniami, dopóki nie zadzwoni klient.
• Integracje przestają działać bez komunikatu. Bramka płatności, widżet rezerwacji, aplikacja mobilna, kurier, który odpytuje Twoje API – programy nie mają przycisku „przejdź mimo to”. Po prostu odmawiają połączenia, a błąd ląduje w logu, którego nikt nie czyta.
• Poczta też może stanąć. Jeśli serwer pocztowy (mail.twojafirma.pl) używa tego samego certyfikatu, programy pocztowe zaczynają pytać o zaufanie albo przestają wysyłać.
• Google nie kasuje strony od razu, ale robot nie może jej pobrać. Im dłużej trwa awaria, tym więcej podstron wypada z indeksu, a odbudowa trwa dłużej niż sama naprawa.

Dlaczego odnowienie zawodzi: osiem powodów

1. Automat przestał działać po zmianie DNS, hostingu albo CDN. Odnowienie wymaga, by wystawca mógł potwierdzić, że kontrolujesz domenę. Po przenosinach stary serwer dalej dzielnie odnawia certyfikat, którego nikt nie używa, a nowy nie dostał jeszcze żadnego.
2. Certyfikat kupiła ręcznie agencja, która już się Tobą nie opiekuje. Przypomnienia o końcu ważności idą na adres, którego nikt nie czyta, a login do panelu wystawcy odszedł razem z kontaktem.
3. Wygasła karta albo nieopłacona faktura u wystawcy lub hostingu. Usługa „SSL” znika po cichu razem z płatnością.
4. Przekierowanie lub zapora blokuje weryfikację. Wymuszone przekierowanie na https, strona „w budowie”, blokada ruchu spoza Polski albo zapora aplikacyjna odcinają adres /.well-known/acme-challenge/, przez który wystawca sprawdza domenę. W panelu zostaje wpis „challenge failed”, którego nikt nie widzi.
5. Rekord CAA w DNS pozwala wystawiać certyfikaty tylko innej firmie. Ktoś dodał go lata temu przy poprzednim dostawcy, a dzisiejszy nie może przez niego przejść.
6. Jedna domena, kilka certyfikatów. www i adres bez www, sklep., api., panel., mail. – każdy może mieć osobny certyfikat z osobną datą. Certyfikat „z gwiazdką” na wszystkie subdomeny odnawia się przez klucz do DNS, który ktoś wymienił.
7. Przypomnienia e-mailem już nie przychodzą. Let's Encrypt, najpopularniejszy darmowy wystawca, zakończył wysyłkę powiadomień o wygasaniu 4 czerwca 2025 – uzasadniając to m.in. tym, że większość użytkowników ma już automatyczne odnawianie, a przechowywanie milionów adresów e-mail kłóci się z ochroną prywatności. Jeśli Twoja strona polegała na tym mailu, od półtora roku nikt Cię nie ostrzega.
8. Terminy się skracają i „raz w roku” przestało istnieć. Branżowe forum przeglądarek i wystawców (CA/Browser Forum) przyjęło harmonogram: maksymalna ważność certyfikatu spadła z 398 dni do 200 dni od 15 marca 2026, od 15 marca 2027 będzie to 100 dni, a od 15 marca 2029 – 47 dni. Certyfikaty Let's Encrypt są ważne 90 dni (zalecane odnawianie co 60), a na życzenie wystawiane są nawet sześciodniowe. Wniosek jest prosty: kto odnawia ręcznie z kalendarza, w ciągu dwóch lat przegra z kalendarzem.

Jak sprawdzić datę ważności w 60 sekund

1. W przeglądarce na komputerze. Kliknij ikonę przy adresie strony (kłódka lub ikona ustawień), potem „Połączenie jest bezpieczne” i „Certyfikat jest ważny” (Chrome) albo „Więcej informacji” → „Wyświetl certyfikat” (Firefox). Szukasz dwóch dat: „Ważny od” i „Ważny do”, oraz nazwy wystawcy.
2. Przeczytaj „Ważny od”, nie tylko „Ważny do”. Jeśli wystawcą jest Let's Encrypt, ZeroSSL albo „auto SSL” hostingu, certyfikat żyje 90 dni i powinien być odnawiany po 60. Data „od” sprzed 80 dni oznacza, że automat już nie zadziałał – masz kilka dni, zanim klienci to zobaczą.
3. Sprawdź wszystkie nazwy, nie tylko stronę główną. Adres z www i bez, sklep, blog, panel klienta, API, a także adres serwera poczty. Każdy wpisz osobno – przeglądarka pokaże certyfikat tej konkretnej nazwy.
4. Na telefonie albo dla kogoś z zespołu: bezpłatny test SSL Labs (ssllabs.com/ssltest) pokazuje daty, wystawcę, łańcuch i to, czy certyfikat pasuje do nazwy. Trwa minutę lub dwie.
5. Dla osób technicznych: jedno polecenie w terminalu wypisze daty i wystawcę:

   echo | openssl s_client -servername twojafirma.pl -connect twojafirma.pl:443 2>/dev/null \
     | openssl x509 -noout -dates -issuer

   Linia notAfter to data wygaśnięcia.
6. Zapisz wynik z datą i wystawcą w jednym miejscu dla wszystkich nazw. To Twój inwentarz – przyda się przy każdej zmianie hostingu albo wykonawcy.

Objaw → przyczyna → kto naprawia

Jak to się już nie powtórzy

• Automat zamiast kalendarza. Wybierz hosting z automatycznym certyfikatem (Let's Encrypt lub własny „auto SSL”) albo postaw stronę za usługą typu Cloudflare, która sama pilnuje certyfikatów. Przy ważności 200, a wkrótce 100 i 47 dni ręczne odnawianie to nie oszczędność, tylko odroczona awaria.
• Niezależne ostrzeżenie z wyprzedzeniem. Przypomnienie od hostingu nie pomoże, gdy to hosting jest problemem. Potrzebujesz czegoś z zewnątrz, co codziennie patrzy na certyfikat i pisze do Ciebie 14 i 7 dni przed końcem. Let's Encrypt poleca w tej roli np. darmowy plan Red Sift Certificates Lite; robi to też Webskan Monitor (niżej).
• Inwentarz nazw. Lista wszystkich adresów z certyfikatami – łącznie z pocztą i panelami – z datą i wystawcą. Jedna kartka, aktualizowana przy każdej zmianie.
• Dwa adresy do powiadomień u wystawcy i hostingu: Twój i kogoś, kto zostanie w firmie. Nie adres byłej agencji.
• Próbne odnowienie po każdej zmianie DNS, hostingu, CDN lub zapory. Większość narzędzi ma tryb „na sucho” (--dry-run), który sprawdza, czy weryfikacja przejdzie, bez wystawiania certyfikatu.
• Przy przenosinach: najpierw certyfikat na nowym serwerze, potem zmiana DNS. Odwrotna kolejność daje kilka godzin czerwonego ekranu.

Co sprawdzamy w Webskanie

Audyt pogłębiony sprawdza certyfikat na audytowanych adresach: ważność, zgodność z nazwą, przekierowanie z http na https i mixed content, a jeśli do końca ważności zostało mniej niż 21 dni, dostajesz to jako osobne ustalenie z zaleceniem. Webskan Monitor patrzy na certyfikat codziennie i wysyła e-mail 14, 7, 3 i 1 dzień przed końcem ważności oraz natychmiast, gdy certyfikat stanie się nieprawidłowy; przy okazji pilnuje też daty wygaśnięcia samej domeny (30, 14 i 7 dni przed). Czego nie robimy: nie odnawiamy certyfikatów za Ciebie – od tego jest hosting albo wykonawca, a nasz e-mail mówi, gdzie zajrzeć.

Źródła i narzędzia

• CA/Browser Forum, Ballot SC-081v3 – harmonogram skracania ważności certyfikatów z 398 do 47 dni (marzec 2026 – marzec 2029); etapy 200 i 100 dni za omówieniem DigiCert
• Let's Encrypt, Ending Support for Expiration Notification Emails – koniec powiadomień 4 czerwca 2025 i powody
• Let's Encrypt, FAQ – certyfikaty ważne 90 dni, zalecane odnawianie co 60; certyfikaty sześciodniowe na życzenie
• Qualys, SSL Server Test – bezpłatny test certyfikatu, łańcucha i konfiguracji