Kontrola platnosti certifikátu
Jak zjistit, kdy vyprší certifikát, a jak dlouho dopředu to hlídat?
Krátká odpověď
Datum vypršení je součástí certifikátu, takže se dá přečíst jedním TLS spojením — bez přístupu na server a bez spolupráce hostingu. Tegmia ho čte při každém běhu a počítá z něj zbývající dny. Hranice se řídí tím, na jak dlouho je certifikát vystavený: když zbývá méně než čtvrtina jeho platnosti (nejvýš 30 dní), je to nízké zjištění, pod osminou (nejvýš 14 dní) vysoké a po vypršení kritické. Automatická obnova obvykle proběhne, když zbývá zhruba třetina platnosti, takže při denní kontrole se zdravý certifikát k první hranici nedostane — ani ten, který Let’s Encrypt od 10. 2. 2027 vydává na 64 dní.
Patří do kontroly Certifikát a TLS.
Co to je
Certifikát má pevné rozmezí platnosti. Po jeho konci prohlížeč spojení odmítne a zobrazí varovnou stránku — bez ohledu na to, že je server v pořádku a klíč nikdo neukradl.
Většina výpadků HTTPS nevzniká tím, že by na obnovu nikdo nemyslel, ale tím, že automatická obnova tiše selže: změní se přesměrování, zmizí ověřovací cesta, vyprší oprávnění k DNS. Nikdo se nic nedozví, protože dokud je certifikát platný, nic nehlásí.
Platnost certifikátů se navíc zkracuje. Podle plánu CA/Browser Forum klesá maximální doba platnosti po krocích; od 15. 3. 2027 má být 100 dní (stav k 22. 10. 2026). Ruční obnova se tím stává neudržitelnou a automatická obnova povinností.
Let’s Encrypt navíc 4. 6. 2025 přestala posílat e-maily o blížícím se vypršení. Komu obnovu hlídal právě tento e-mail, zůstal bez hlídače a často o tom neví.
Jak to Tegmia měří
Co kontrola skutečně dělá, s prahy, na kterých hlásí nález.
- Z certifikátu přečteného při TLS spojení bereme platnost od a do a počítáme zbývající kalendářní dny podle českého času.
- Po konci platnosti: tls.cert_expired, kritická závažnost. V důkazu je datum vypršení a kolik dní je po něm.
- Méně než osmina doby platnosti, nejvýš 14 dní: tls.cert_expiring_soon, vysoká závažnost. U certifikátu na 90 dní je to pod 11 dní, na 64 dní pod 8 dní.
- Méně než čtvrtina doby platnosti, nejvýš 30 dní: tls.cert_expiring_30d, nízká závažnost. U certifikátu na 90 dní pod 22 dní, na 64 dní pod 16 dní, na rok pod 30 dní. Je to upozornění, ne poplach — má vám dát důvod ověřit, že obnova proběhne sama.
- Kde kontrola běží jen jednou za 30 dní (tarif Start), začíná nízké zjištění dřív: když do konce zbývá méně než 30 dní, u certifikátu kratšího než 60 dní méně než polovina jeho platnosti. Bez toho by kontrola mohla celé období varování přeskočit mezi dvěma běhy a ozvat se až po vypršení. U certifikátů na 60 dní a déle se to tak stane jen výjimečně, asi ve 2 až 3 % případů. U kratších to nestačí: období varování je kratší než odstup běhů a u certifikátu na 45 dní připadne mezi dva běhy zhruba ve třech případech z deseti. Takový certifikát potřebuje kontrolu častější než jednou za 30 dní. Cenou je, že i zdravý certifikát občas dostane nízké zjištění, než se sám obnoví.
- Když se začátek platnosti nedá přečíst, platí 30 a 14 dní. V důkazu je doba platnosti i obě hranice, takže je vidět, proč zjištění vzniklo právě teď.
- Zjištění jsou odstupňovaná záměrně. Upozornění e-mailem, která připravujeme, budou chodit jen na nová kritická a vysoká zjištění: na první hranici e-mail nedostanete, na druhou ano.
Co tím nezměříme
- Nevidíme do vaší automatické obnovy. Poznáme, že se blíží konec platnosti, ne že obnova selhala.
- Nekontrolujeme certifikáty na jiných portech než 443 ani na subdoménách, které nejsou v účtu zvlášť.
Co z toho může vzejít za zjištění
Přímo z katalogu. Stejný text uvidíte i v hlášení.
Certifikát už není platný
Kritickétls.cert_expired · Certifikát a TLS
Prohlížeče na takovém webu zobrazí varovnou stránku. Zákazníci web většinou opustí a platby přes něj neprojdou.
Co udělat: Obnovte certifikát u poskytovatele hostingu nebo zapněte automatickou obnovu (ACME / Let’s Encrypt). Po obnově ověřte, že se nový certifikát nasadil na všechny servery za load balancerem.
Výchozí závažnost kritické: Řešte hned. Chyba je zneužitelná zvenčí nebo už službu rozbíjí. Celé pravidlo v katalogu
Certifikát vyprší za méně než 14 dní
Vysokétls.cert_expiring_soon · Certifikát a TLS
Pokud automatická obnova selže, web během dvou týdnů přestane fungovat. Většina výpadků HTTPS vzniká právě takto.
Co udělat: Zkontrolujte, že automatická obnova běží a má přístup k doméně. Pokud certifikát obnovujete ručně, naplánujte obnovu do konce tohoto týdne.
Výchozí závažnost vysoké: Naplánujte do týdne. Výrazně zvyšuje šanci na úspěšný útok. Celé pravidlo v katalogu
Certifikát vyprší za méně než 30 dní
Nízkétls.cert_expiring_30d · Certifikát a TLS
Zatím nic nehoří. Je to ale okamžik, kdy má smysl ověřit, že obnova proběhne sama.
Co udělat: Ověřte funkčnost automatické obnovy. Žádná okamžitá akce není potřeba.
Výchozí závažnost nízké: Doladění. Bez bezprostředního rizika, zlepší to celkový stav. Celé pravidlo v katalogu
Certifikát je v pořádku
Informacetls.ok · Certifikát a TLS
Platný certifikát od důvěryhodné autority, odpovídající doméně.
Co udělat: Nic není potřeba. Datum vypršení hlídáme dál.
Výchozí závažnost informace: Jen zjištěný fakt o vašem prostředí. Není to chyba. Celé pravidlo v katalogu
Typická chybná konfigurace
Certifikát obnovovaný ručně v kalendáři jednoho člověka. Funguje to, dokud ten člověk má dovolenou, nemoc nebo jinou práci — a při zkracující se platnosti se termín vrací několikrát do roka místo jednou.
Druhá situace: automatická obnova je nastavená, ale ověřovací cesta „/.well-known/acme-challenge/“ se zavřela, protože se na webu změnilo přesměrování nebo se zapnula ochrana. Obnova od té doby selhává, a protože ji nikdo nekontroluje, pozná se to až podle varovné stránky.
Jak to opravit
Konkrétní kroky v pořadí, ve kterém mají smysl.
- 01Zjistěte, jak se certifikát obnovuje a kdo za to odpovídá. Pokud odpověď není jedno jméno nebo jedna služba, je to první věc k opravě.
- 02Zapněte automatickou obnovu přes ACME, kde to hosting umožňuje. U spravovaného hostingu to bývá jedno zaškrtnutí.
- 03Ověřte, že obnova má kudy projít: cesta „/.well-known/acme-challenge/“ nesmí být přesměrovaná ani blokovaná, u ověření přes DNS musí platit přístup k DNS doméně.
- 04Vyzkoušejte obnovu nasucho, mimo poslední týden platnosti. Jediný spolehlivý test obnovy je obnova.
- 05Nasaďte nový certifikát na všechny servery, které doménu obsluhují, a potom zkontrolujte, co server opravdu posílá.
- 06Nechte si hlídat zbývající dny zvenčí, nezávisle na tom systému, který obnovu dělá. Hlídač uvnitř stejné krabice se porouchá spolu s ní.
Zkontrolovat to na své doméně
Čteme jen to, co doména zveřejnila.
Sken přečte veřejné záznamy a konfiguraci domény a ukáže výsledek téhle kontroly u vás, včetně důkazu, ze kterého jsme vycházeli.
Situace, které to řeší
- Expiroval nám certifikát
Jak web rozchodit zpátky, proč obnova nejčastěji selže a jak nastavit hlídání, aby se to neopakovalo.
- Prohlížeč hlásí nedůvěryhodný certifikát
Čtyři různé příčiny varování o certifikátu, jak je od sebe odlišit a co která znamená pro návštěvníky webu.
Související kontroly
Co se k tomu váže a dělá se obvykle spolu.
- Kontrola SSL certifikátu
Co se dá o certifikátu zjistit jedním TLS spojením: vydavatel, doménová jména, síla klíče, verze protokolu.
- Kontrola CAA záznamu
CAA říká, která autorita smí vystavit certifikát pro vaši doménu. Jak ho přečteme a jak ho nastavit.
Naposledy upraveno 3. listopadu 2026. Stránku píšeme ručně a opravujeme ji, když se změní to, co měříme. Našli jste tu chybu? Napište na kontakt.