Er vindt een stille aftelling plaats op het internet. Vanaf maart 2029 is domeincontrolevalidatie (DCV), het bewijs dat u een domein beheert, nog maar 10 dagen geldig, en een openbaar Transport Layer Security (TLS) -certificaat slechts 47 dagen. Tot voor kort kon dit bewijs meer dan een jaar worden hergebruikt en konden certificaten net zo lang geldig blijven; sinds 15 maart 2026 is de geldigheidsduur van beide beperkt tot 200 dagen. Dit is een van de grootste veranderingen in de manier waarop het web vertrouwen bewijst, en de meeste teams hebben er nog niets van gemerkt.
Je hebt vast wel eens gehoord van het certificaat met een geldigheidsduur van 47 dagen . Dat is de ene helft van het verhaal. De andere helft is de domeinvalidatieperiode van 10 dagen. Beide zijn belangrijk en samen veranderen ze de manier waarop je certificaten uitgeeft en verlengt. Laten we eens kijken wat er verandert, waarom het gebeurt en hoe je je kunt voorbereiden zonder in paniek te raken op het laatste moment.
Wat is domeincontrolevalidatie?
Domeincontrolevalidatie, ofwel DCV, is de controle die een certificeringsinstantie (CA) uitvoert voordat deze een TLS-certificaat uitgeeft. Het bevestigt één simpele vraag: beheert u daadwerkelijk het domein dat u wilt beveiligen?
Je bewijst de controle door iets te doen wat alleen de rechtmatige eigenaar zou kunnen doen. Je kunt bijvoorbeeld een speciaal DNS-record toevoegen of een bestand op je webserver plaatsen. De certificeringsinstantie (CA) zoekt naar dat bewijs. Als het gevonden wordt, wordt het certificaat uitgegeven.
Nadat je de controle hebt doorstaan, vergeet de certificeringsinstantie (CA) dit niet meteen. Ze kan dat bewijs gedurende een bepaalde periode hergebruiken. Gedurende die periode kun je nieuwe certificaten voor hetzelfde domein verkrijgen zonder opnieuw je zeggenschap te hoeven bewijzen. Sinds 15 maart 2026 is die periode verlengd tot 200 dagen, in plaats van de 398 dagen daarvoor. Daarom voelt het verlengen zo makkelijk aan. Het lastige gedeelte was al afgehandeld.
Wat verandert er en wanneer?
In april 2025 keurde het CA/Browser Forum een ​​voorstel goed genaamd Ballot SC-081v3 . Het Forum is de groep van certificeringsinstanties (CA's) en browserfabrikanten die de regels voor openbare certificaten vaststellen. De browsers achter Chrome, Safari, Firefox en Edge stemden allemaal voor.
De stemming doet twee dingen tegelijk. Het verkort de geldigheidsduur van een certificaat en het verkort de periode waarin domeinvalidatie hergebruikt kan worden. Beide processen vinden stapsgewijs plaats.
| Ingangsdatum | Maximale geldigheidsduur van het certificaat | Maximale domeinvalidatie hergebruik |
|---|---|---|
| Tot 15 maart 2026 | 398 dagen | 398 dagen |
| 15 maart 2026 | 200 dagen | 200 dagen |
| 15 maart 2027 | 100 dagen | 100 dagen |
| 15 maart 2029 | 47 dagen | 10 dagen |
Merk op dat de periode waarin een certificaat in 2029 opnieuw geldig is, korter is dan de geldigheidsduur van het certificaat zelf. Het praktische gevolg is simpel: domeinvalidatie zal vrijwel bij elke verlenging nodig zijn, niet slechts af en toe.
Er is nog een wijziging voor certificaten met een hogere mate van zekerheid. Als u gebruikmaakt van Organization Validated (OV) of Extended Validation (EV) certificaten, worden de gevalideerde identiteitsgegevens die het Subject-veld van het certificaat ondersteunen Subject Identity Information genoemd. Vanaf 15 maart 2026 kan die informatie nog maar 398 dagen worden hergebruikt, in plaats van 825 dagen. De controle van de bedrijfsidentiteit verschuift dus van een cyclus van ongeveer twee jaar naar een jaarlijkse cyclus.
Twee korte opmerkingen. Sommige certificeringsinstanties (CA's) geven al certificaten uit die een dag of twee korter geldig zijn dan de officiële maximale geldigheidsduur, omdat de geldigheid tot op de seconde nauwkeurig wordt gemeten. Verleng uw certificaat daarom vroegtijdig en houd een buffer aan. Deze regels gelden overigens alleen voor publiekelijk vertrouwde certificaten. Een interne, private CA die browsers niet vertrouwen en onderdeel uitmaakt van uw eigen Public Key Infrastructure (PKI), valt hier niet onder, hoewel het verkorten van de geldigheidsduur nog steeds een goede gewoonte is.
Hoe domeinvalidatie werkt
Om je voor te bereiden op de veel frequentere validatie, is het handig om de meest voorkomende manieren te begrijpen waarop een certificeringsinstantie (CA) de controle over een domein verifieert.
E-mailvalidatie stuurt een bericht naar een adres zoals [email protected] en vraagt ​​u om het eigendom te bevestigen door op een link te klikken. Het is eenvoudig, maar vereist doorgaans handmatige actie, waardoor het onpraktisch is wanneer de validatie elke 10 dagen moet worden herhaald. E-mailvalidatie wordt door het CA/B Forum geleidelijk uitgefaseerd onder stembiljet SC-090.
HTTP-gebaseerde validatie (meestal de ACME HTTP-01-uitdaging) vereist dat u een klein tokenbestand op een specifiek pad op uw webserver plaatst. Dit werkt goed voor individuele servers, maar wordt lastiger te beheren in omgevingen met loadbalancers, CDN's en grote gedistribueerde systemen.
DNS-gebaseerde validatie (meestal de ACME DNS-01-uitdaging) vereist het publiceren van een TXT-record in de DNS van uw domein. Het is de standaardmethode voor wildcardcertificaten en kan volledig worden geautomatiseerd via API's van DNS-providers, waardoor het de voorkeur geniet bij frequente certificaatvernieuwingen en DCV-hervalidatie.
De technologie die dit alles met elkaar verbindt, is het Automated Certificate Management Environment (ACME) -protocol, gedefinieerd in RFC 8555. ACME automatiseert de hele cyclus. Uw client vraagt ​​een certificaat aan, de certificeringsinstantie (CA) stuurt een uitdaging terug, uw client publiceert het bewijs en de CA controleert dit en geeft het certificaat uit. Er zijn geen menselijke handelingen nodig. Het is hetzelfde protocol dat geautomatiseerde certificaatuitgifte tot de standaard heeft gemaakt op het moderne web.
In dit nieuwe tijdperk is DNS-01 met ACME de sterkste route. Een handige truc is CNAME-delegatie. Je laat het validatierecord verwijzen naar een kleine, specifieke zone, zodat je automatisering alleen die beperkte ruimte aantast en niet je hoofd-DNS. Nog iets om rekening mee te houden: certificeringsinstanties (CA's) bevestigen nu de domeincontrole vanuit meerdere netwerklocaties tegelijk. Deze beveiliging, genaamd multi-perspective validation, maakt aanvallen zoals BGP-kaping veel moeilijker.
In de praktijk betekent dit dat uw validatie er vanuit elk oogpunt correct uit moet zien, dus een instabiele DNS-configuratie of een halfvoltooide wijziging kan tot fouten leiden. Een gerelateerde regel (Ballot SC-085v2, van kracht vanaf 15 maart 2026) vereist ook dat certificeringsinstanties DNSSEC controleren wanneer dit aanwezig is, dus een defecte DNSSEC-configuratie kan eveneens tot fouten leiden.
Waarom de industrie dit doet
Een kortere levensduur maakt je leven niet moeilijker. Het lost een fundamenteel probleem op.
Wanneer een certificaat of de bijbehorende privésleutel wordt gestolen, duurt de schade voort zolang het certificaat geldig blijft. Browsers zijn er niet goed in om certificaten snel in te trekken, omdat intrekkingscontroles vaak worden overgeslagen of verlopen. Een certificaat met een lange geldigheidsduur brengt een risico met zich mee dat lang aanhoudt. Een certificaat met een korte geldigheidsduur beperkt de periode waarin de schade zich kan voordoen, net zoals een sleutel die na een paar weken niet meer werkt, zelfs als niemand merkt dat deze is gekopieerd.
Er is ook een toekomstgerichte reden. De industrie bereidt zich voor op post-kwantumcryptografie . NIST heeft op 13 augustus 2024 de eerste drie post-kwantumstandaarden afgerond, bekend als FIPS 203 (ML-KEM), 204 (ML-DSA) en 205 (SLH-DSA). Het wisselen van algoritmes tussen duizenden certificaten is lastig als alles langdurig en handmatig gebeurt. Korte levensduur in combinatie met automatisering maakt die overstap veel eenvoudiger. Dit is geen nieuw advies. NIST SP 1800-16 , een handleiding voor het beheer van TLS-servercertificaten, adviseerde jaren geleden al certificaatinventarissen, monitoring en automatisering. De nieuwe regels maken die richtlijnen simpelweg verplicht.
Wat de kortere periode voor jou betekent
Laten we de werklast concreet maken. Een certificaat met een geldigheidsduur van 47 dagen moet ongeveer acht keer per jaar worden verlengd. De meeste teams verlengen tegenwoordig ongeveer één keer per jaar. Met de hergebruiksperiode van 10 dagen moet de domeinvalidatie bij bijna elke verlenging plaatsvinden.
Vermenigvuldig dat nu met een realistische omgeving. Webservers, API's, loadbalancers, mailgateways en kortstondige workloads in Kubernetes gebruiken allemaal certificaten. Een handmatig proces dat prima werkt met één jaarlijkse verlenging, wordt een constante bron van storingen zodra dat aantal oploopt tot acht. En een enkel verlopen certificaat kan een betalingsproces, een API of een inlogpagina binnen enkele seconden platleggen.
Analisten in de sector maken hetzelfde punt. Gartner merkt op dat organisaties regelmatig te maken hebben met storingen als gevolg van onbeheerde certificaten, en dat de 47-dagenvereiste het beheer van de certificaatlevenscyclus urgenter maakt . Compliance zorgt ook voor extra druk, aangezien standaarden zoals PCI DSS sterke, actuele cryptografie vereisen voor data die onderweg is. Voor teams die met overheidstijdlijnen werken, stelt de CNSA 2.0-suite van de NSA concrete mijlpalen vast voor de post-quantummigratie. FIPS 140-3- validatie is ook van toepassing op de modules die HSM-ondersteunde sleutels beschermen.
Hoe blijf je de tijd een stap voor?
Je hoeft dit niet allemaal in één keer op te lossen. De gefaseerde planning is je startpunt. Begin hier.
- Vind alle certificaten. Je kunt niet verlengen wat je niet kunt zien. Stel een volledig overzicht samen van alle certificaten in de cloud, on-premise en interne systemen, en wijs aan elk certificaat een duidelijke eigenaar toe.
- Automatiseer de uitgifte en verlenging. Hanteer ACME en een certificaatlevenscyclusbeheersysteem, zodat verlengingen zonder menselijke tussenkomst plaatsvinden.
- Geef de voorkeur aan DNS-01 met delegatie. Verplaats de validatie naar DNS-records die worden aangestuurd door een API en gebruik CNAME-delegatie om wijzigingen beperkt te houden.
- Schrap handmatige en e-mailvalidatie uit de productieomgeving. Alles waarbij een gebruiker op een link moet klikken, zal op deze snelheid niet meer werken.
- Houd de polis in de gaten en verleng tijdig. Houd vervaldatums bij, ontvang waarschuwingen voordat ze verstrijken en verleng met een marge in plaats van de polis op de laatste dag te forceren.
- Bouw crypto-behendigheid Beschouw snelle, geautomatiseerde rotatie nu als een kernfunctionaliteit. Het beschermt u vandaag en bereidt u voor op de migratie na de kwantumcrisis.
Enkele valkuilen om te vermijden. Ga er niet van uit dat uw private PKI is aangetast, want dat is niet het geval. Vergeet de jaarlijkse OV- of EV-identiteitscontrole niet, aangezien die stap handmatig moet worden uitgevoerd. Vertrouw niet op één enkel netwerkpad voor validatie. En laat geen certificaat achter zonder een benoemde eigenaar, want weescertificaten verlopen ongemerkt.
Hoe encryptieconsultancy kan helpen
CertSecure Manager is het certificaatlevenscyclusbeheerplatform van Encryption Consulting, speciaal ontwikkeld om precies de hierboven beschreven uitdagingen aan te pakken.
Het integreert met bestaande ACME-clients en fungeert als het centrale systeem voor gegevensregistratie en beleidsbeheer voor zowel openbare als private certificeringsinstanties. De ACME-clients blijven hun werk doen, terwijl CertSecure Manager elk certificaat dat ze uitgeven bijhoudt, uw cryptografische beleidsregels afdwingt en u een uniform overzicht biedt van de gehele levenscyclus binnen uw Linux- en Windows-infrastructuur.
CertSecure Manager integreert met openbare certificeringsinstanties zoals Let's Encrypt en met een eigen, op maat gemaakt ACME-eindpunt, waardoor de uitgifte en verlenging volledig geautomatiseerd blijven. Het vermindert ook certificaatgerelateerde storingen door configureerbare waarschuwingen van 30 dagen of langer van tevoren te bieden.
Wat de implementatie betreft, beheren Ansible playbooks op consistente wijze de ACME-clientconfiguratie, de certificaatimplementatie en het herladen van services voor Apache, Nginx, Tomcat en IIS in zowel on-premises als hybride cloudomgevingen, en dat alles zonder handmatige tussenkomst.
Naarmate uw omgeving groeit, schaalt CertSecure Manager mee. Het biedt een uniforme certificaatinventaris, handhaaft cryptografische standaarden voor alle teams en biedt inzicht in gebeurtenissen gedurende de levenscyclus. De operationele integraties voor waarschuwingen, ticketing en auditregistratie transformeren certificaatbeheer van een reactieve noodoplossing naar een gecontroleerd en controleerbaar proces.
Conclusie
Het aftellen is al begonnen. De geldigheidsduur van certificaten daalt naar 200 dagen in 2026, 100 dagen in 2027 en 47 dagen in 2029, terwijl de hergebruiksduur van domeinvalidatie daalt naar slechts 10 dagen. Kortere certificaten en constante, geautomatiseerde validatie zijn nu twee kanten van dezelfde medaille.
De teams die nu beginnen, zullen de deadlines nauwelijks merken, omdat ze een inventaris, automatisering en duidelijke verantwoordelijkheden hebben. De teams die wachten, zullen elke verlenging voelen. Als u niet zeker weet waar uw certificaten zich bevinden of hoe ze verlengd moeten worden, is dat het eerste wat u moet oplossen. Breng het in kaart, automatiseer het, en de rest wordt een stuk eenvoudiger.
