Levenscyclus van TLS-certificaten: belangrijke data die elk team moet kennen

De levenscyclus van een TLS-certificaat is de reeks datums, van uitgifte tot verlenging, vervaldatum en intrekking, die bepaalt wanneer een certificaat dat een website, API of interne service beschermt, moet worden gecontroleerd en vervangen om een ​​storing te voorkomen. Het missen van een datum in die reeks, vooral nu de geldigheidsperioden steeds korter worden (naarmate de 47 dagen) leidt tot de meeste vermijdbare certificaatstoringen. Een TLS-certificaat is een van de belangrijkste onderdelen van uw beveiligingsconfiguratie, omdat het de communicatie tussen servers en clients versleutelt. Wanneer het verloopt zonder dat iemand het merkt, vallen websites uit, werken API's niet meer en kunnen gebruikers geen verbinding maken. Dit gebeurt vaker bij grote organisaties dan u zou denken, en het is bijna altijd te voorkomen.

Samenvatting

Elk TLS-certificaat heeft een vaste reeks levenscyclusdata: uitgifte, de geldigheidsperiode (niet voor en niet na), een verlengingsperiode en uiteindelijk vervaldatum of intrekking. Het missen van een van deze data leidt tot een storing die met de juiste procedures vrijwel altijd te voorkomen is. De risico's nemen toe, omdat het CA/Browser Forum-voorstel SC-081v3, goedgekeurd op 11 april 2025, de maximale geldigheidsduur van openbare TLS-certificaten gefaseerd verlengt van 398 dagen nu naar 200 dagen in maart 2026, 100 dagen in maart 2027 en 47 dagen in maart 2029, een achtvoudige toename van de verlengingsfrequentie. Teams die certificaten nog steeds handmatig of met agendaherinneringen bijhouden, kunnen deze frequentie niet bijbenen. Deze handleiding beschrijft de volledige levenscyclus, de mijlpalen die elk team moet bewaken, wat er gebeurt als een deadline wordt gemist en hoe PKI-, beveiligings-, platform- en compliance-teams de verantwoordelijkheid moeten verdelen om de verschuiving voor te blijven.

Snelle checklist voor de levenscyclus van certificaten

Gebruik deze checklist om te bepalen hoe goed uw organisatie is voorbereid op kortere geldigheidsperioden van certificaten.

• Bevestig dat u beschikt over een volledig en continu bijgewerkt bestand. certificaatdetectie en inventarisatie op webservers, loadbalancers, cloudservices en interne systemen.
• Controleer of de waarschuwingsdrempels zijn ingesteld op 60, 30, 14 en 7 dagen vóór de vervaldatum, met gedefinieerde escalatiepaden voor elke fase.
• De bevestiging van de verlenging wordt waar mogelijk geautomatiseerd in plaats van afhankelijk te zijn van een herinnering in de agenda van één enkele eigenaar.
• Bevestig dat de intrekkingsstatus continu wordt gecontroleerd via CRL's en OCSP, en niet alleen bij uitgifte.
• Controleer of de auditlogboeken elke uitgifte, verlenging en intrekking vastleggen als bewijs van naleving.
• Controleer of uw team heeft gemodelleerd wat de gevolgen zijn van een overstap naar TLS-certificaten met een geldigheidsduur van 200 dagen, vervolgens 100 dagen en daarna 47 dagen voor uw huidige werklast bij het verlengen van certificaten.

Eigenaar- en actiematrix per team

Certificaatlevenscyclusbeheer faalt het vaakst wanneer de verantwoordelijkheden onduidelijk zijn. Hieronder wordt uitgelegd hoe PKI-, beveiligings-, platform- en compliance-teams de verantwoordelijkheden zouden moeten verdelen.

Team	Primaire verantwoordelijkheid	Belangrijkste actie
PKI-team	Beheer de certificaatuitgifteketen en de relaties met certificeringsinstanties.	Valideer de afhandeling van CSR's en de velden 'Niet voor/Niet na'; houd de documentatie van de CA-hiërarchie actueel.
Beveiligingsteam	Eigen herroeping en risicobeheer	Bewaak continu de CRL- en OCSP-status; neem het voortouw wanneer een privésleutel mogelijk is gecompromitteerd.
Platform- en DevOps-team	Automatisering en implementatie van eigen verlengingen	Implementeer automatische verlenging op basis van ACME of CLM voor webservers, loadbalancers en cloudservices.
Nalevingsteam	Eigen auditbewijs en afstemming op regelgeving	Houd het auditspoor bij voor PCI DSS-, HIPAA- en FedRAMP-audits en bevestig dat er gedurende de auditperiode geen hiaten in de dekking bestonden.

Besluittabel voor de levenscyclus van certificaten

Gebruik deze tabel om een ​​situatie waarmee uw team te maken heeft, te koppelen aan de aanbevolen actie, de verantwoordelijke en het verwachte resultaat.

Use Case	Aanbeveling	Operationeel eigenaar	Verwacht resultaat
De inventaris van certificaten is onbekend of onvolledig.	Voer geautomatiseerde certificaatdetectie uit voor DNS, webservers en cloudproviders.	PKI-team	Een complete, continu bijgewerkte inventaris die hiaten in het inzicht opvult.
Verlengingen worden nog steeds handmatig bijgehouden of via agendaherinneringen afgehandeld.	Schakel over op ACME-gebaseerde of CLM-gestuurde geautomatiseerde verlenging.	Platform- en DevOps-team	De verlenging wordt volgens schema uitgevoerd, zonder dat er een menselijke deadline is die gemist kan worden.
Er heeft zich al een storing of vervaldatum voorgedaan die verband houdt met certificaten.	Voeg drempelwaarden voor waarschuwingen in meerdere fasen toe (60/30/14/7 dagen) met gedefinieerde escalatie.	Beveiligingsteam	Problemen komen weken voordat ze tot stroomuitval leiden aan het licht.
Een aanstaande compliance-audit (PCI DSS, HIPAA of FedRAMP)	Controleer of er een auditlogboek bestaat voor elke uitgifte, verlenging en intrekking.	Nalevingsteam	Auditklare bewijsstukken waarvoor geen handmatige reconstructie nodig is.
Voorbereiding op de 47-daagse overstap naar TLS-certificaten	Modelleer de huidige werklast voor vernieuwingen op basis van de frequentie die ongeveer acht keer zo hoog is als vandaag, en start nu een pilotproject voor automatisering.	PKI-team en platform-/DevOps-team gezamenlijk	De infrastructuur moet gereed zijn vóór de deadline van maart 2029.

Wat te doen Volgende

• PKI-teams: Controleer uw huidige CA-relaties en zorg ervoor dat de uitgifteketen van elk certificaat is gedocumenteerd voordat de geldigheidsperioden verder worden verkort.
• Beveiligingsteams: Bevestig dat de CRL- en OCSP-monitoring continu plaatsvindt en dat er een draaiboek voor reacties bij een gecompromitteerde sleutel bestaat en is getest.
• Platform- en DevOps-teams: Test de op ACME of CLM gebaseerde geautomatiseerde verlenging eerst op een dienst met een laag risico, alvorens deze breed uit te rollen.
• Nalevingsteams: Controleer of uw auditlogboek alle gebeurtenissen in de levenscyclus vastlegt die nodig zijn voor uw volgende PCI DSS-, HIPAA- of FedRAMP-audit.

Waarom de levenscyclus van een TLS-certificaat belangrijk is

Elk TLS-certificaat heeft een vervaldatum. De geldigheidsperiode van het certificaat bepaalt hoe lang een certificaat actief blijft. Als een privésleutel ooit wordt gecompromitteerd, verkleint een kortere geldigheidsperiode de periode waarin de schade kan worden aangericht. Daarom streeft de industrie ernaar de geldigheidsperioden steeds korter te maken, van jaren naar maanden en binnenkort mogelijk zelfs naar dagen.

Het probleem is dat de meeste teams honderden of duizenden certificaten tegelijk beheren, verspreid over webservers, loadbalancers, interne services, IoT-apparaten en API's. Het handmatig bijhouden van elke vervaldatum is niet realistisch en brengt ernstige risico's met zich mee.

Certificaatlevenscyclusbeheer (CLM) is het proces van het volgen, verlengen, intrekken en controleren van certificaten gedurende hun hele levensduur. Zonder CLM werkt uw team in het duister, en dat is een risico dat geen enkele organisatie zou moeten nemen.

De tijdlijn van het TLS-certificaat: belangrijke data uitgelegd

Om de levenscyclus te begrijpen, is het belangrijk om de belangrijkste data te kennen. Zo werkt het vanaf het moment dat een certificaat wordt uitgegeven.

Uitgiftedatum (dag 0)

Dit is het moment waarop de certificeringsinstantie (CA) uw certificaat ondertekent en levert nadat uw identiteit is geverifieerd via een Certificate Signing Request (CSR) . Alles wat daarna komt, zoals geldigheidsperioden, verlengingsmeldingen en vervaldatums, wordt vanaf deze datum berekend.

Niet ervoor en niet erna velden

Deze twee velden zijn ingebouwd in het certificaat zelf. Ze definiëren de exacte periode waarin het certificaat geldig is. Als een certificaat wordt aangeboden vóór de 'Niet voor'-datum of na de 'Niet na'-datum, wordt het zonder uitzondering geweigerd.

Verlengingsperiode (30 tot 60 dagen voor de vervaldatum)

Het verlengen van certificaten moet ruim vóór de vervaldatum beginnen. De meeste beveiligingsteams starten het verlengingsproces 30 tot 60 dagen van tevoren. De geldigheidsduur van publiekelijk vertrouwde certificaten is momenteel beperkt tot 398 dagen. Volgens CA/Browser Forum Ballot SC-081v3, goedgekeurd op 11 april 2025, wordt deze limiet geleidelijk afgebouwd naar 200 dagen in maart 2026, 100 dagen in maart 2027 en 47 dagen in maart 2029. Dit schema is specifiek ontworpen om TLS-certificaten met een geldigheidsduur van 47 dagen als nieuwe norm te introduceren. Bron: sectigo.com/resource-library/sectigo-cab-reduce-ssl-tls-certificates-lifespan-47-days . Uw CLM-proces moet ruim vóór elke mijlpaal gereed zijn.

Uit het Trust Pulse-onderzoek van DigiCert, gepubliceerd op 2 juli 2025, bleek dat 45% van de organisaties het afgelopen jaar te maken heeft gehad met uitval als gevolg van certificaatproblemen, en dat 37.5% een storing specifiek kon herleiden tot een verlopen certificaat. Dat is precies het risico dat een duidelijk gedefinieerde verlengingsperiode moet wegnemen. Bron: digicert.com/news/digicert-survey-finds-manual-processes-expose-organizations.

Uiterste houdbaarheidsdatum

Dit is de absolute deadline. Na deze datum zullen browsers en clients beveiligingsfouten weergeven en verbindingen blokkeren. Er is geen respijtperiode en zodra een certificaat verloopt, is het niet meer geldig.

Kritieke mijlpalen die elk team in de gaten moet houden

Naast de standaard levenscyclusdata zijn er diverse mijlpalen die uw team moet bijhouden als onderdeel van een degelijk SSL/TLS-certificaatbeheerproces.

• Bevestiging van certificaatuitgifte: Zorg ervoor dat het certificaat correct is geïnstalleerd op alle beoogde eindpunten, en niet alleen dat het is uitgegeven. Een certificaat dat in een repository blijft staan ​​zonder te worden geïmplementeerd, heeft geen functie.
• Controle van de intrekkingsstatus: Certificaat intrekken Dit gebeurt vaker dan mensen denken. Certificaten worden ingetrokken vanwege het compromitteren van privésleutels, organisatorische veranderingen, beveiligingsincidenten bij de certificeringsinstantie of nalevingsvereisten. Uw team moet dit in de gaten houden. Certificaatintrekkingslijsten (CRL's) en OCSP (Online Certificate Status Protocol) Reacties om ingetrokken certificaten te onderscheppen voordat ze problemen veroorzaken.
• Controle van de vervaldatum van certificaten: Het bewaken van de vervaldatum van certificaten moet een continu proces zijn, geen eenmalige controle. Voer regelmatig scans uit op uw infrastructuur om certificaten te detecteren die buiten uw standaardproces zijn uitgegeven, zoals zogenaamde 'shadow IT'-certificaten of certificaten die gekoppeld zijn aan verouderde systemen.
• Auditspoor en nalevingscontrolepunten: Als uw organisatie zich aan regelgeving houdt zoals PCI DSS, HIPAAAls u voldoet aan de FedRAMP-standaard, moet u alle gebeurtenissen in de levenscyclus van uw certificaat vastleggen, inclusief uitgifte, verlenging en intrekking. Het ontbreken van deze documentatie kan leiden tot bevindingen over nalevingsproblemen tijdens audits.

Wat gebeurt er als je een deadline voor een certificaat mist?

Het missen van een deadline voor een certificaat is niet alleen een technisch probleem. Het is een zakelijk probleem met reële gevolgen.

Service-uitval

Een verlopen certificaat verbreekt HTTPS-verbindingen onmiddellijk. Alle belangrijke browsers, waaronder Chrome, Firefox, Safari en Edge, tonen een beveiligingswaarschuwing en blokkeren standaard de toegang. Voor klantgerichte applicaties betekent dit binnen enkele minuten reputatieschade.

Inkomstenimpact

Voor e-commerceplatforms, SaaS-applicaties en financiële portals kunnen de kosten van een storing als gevolg van certificaatproblemen oplopen tot duizenden dollars per minuut. Zelfs grote bedrijven hebben hier last van. Uit het rapport '2024 Hourly Cost of Downtime' van ITIC blijkt dat de gemiddelde kosten van een uur downtime nu meer dan $ 300,000 bedragen voor meer dan 90% van de middelgrote en grote bedrijven, en dat 41% van de bedrijven uurlijkse downtimekosten rapporteert tussen de $ 1 miljoen en meer dan $ 5 miljoen. Deze cijfers zijn exclusief rechtszaken of boetes van toezichthouders. Bron: itic-corp.com/itic-2024-hourly-cost-of-downtime-report.

Regelgevingsgevolgen

In gereguleerde sectoren kan een verlopen certificaat op een systeem dat gevoelige gegevens verwerkt, een potentiële overtreding van de regelgeving vormen. Toezichthouders verwachten actieve, geldige encryptie op alle systemen die gereguleerde gegevens verwerken.

Beste werkwijzen voor het beheren van de levenscyclus van TLS-certificaten

Zo ziet goed certificaatlevenscyclusbeheer eruit.

• Een certificateninventaris samenstellen: Je kunt niet beheren wat je niet kunt zien. Begin daarom met het opsporen van alle certificaten in je omgeving, zowel intern als extern. Tools die verbinding maken met je DNS, webservers en cloudproviders kunnen dit proces automatiseren.
• Automatische verlenging: Automatisering van TLS-certificaten met behulp van protocollen zoals ACME, dat de basis vormt voor Let's Encrypt, of speciaal daarvoor ontwikkelde CLM-platforms, elimineert de menselijke tussenkomst bij het verlengingsproces. Wanneer de verlenging geautomatiseerd is, is het verlopen van certificaten geen probleem meer.
• Stel drempelwaarden voor waarschuwingen in meerdere fasen in: Wacht niet tot 7 dagen voor de vervaldatum om een ​​melding te versturen. Stel waarschuwingen in op 60, 30, 14 en 7 dagen. Schakel hogere leidinggevenden in naarmate de deadline dichterbij komt.
• Certificaatbeheer centraliseren: Wanneer verschillende teams elk hun eigen certificaten beheren, ontstaan ​​er blinde vlekken. Een gecentraliseerd CLM-platform biedt uw beveiligingsteam volledig inzicht en helpt bij het afdwingen van consistent beleid.
• Test uw verlengingsproces: Veel teams ontdekken pas dat hun verlengingsproces niet goed werkt wanneer ze het echt nodig hebben. Voer geplande tests uit om te controleren of uw automatiserings-, goedkeurings- en implementatieprocessen correct functioneren voordat een echte deadline nadert.

Voorbereiding op kortere geldigheidsperioden van certificaten

Het CA/Browser Forum heeft een vast schema goedgekeurd voor het verkorten van de maximale geldigheidsduur van publiekelijk vertrouwde TLS-certificaten. De huidige limiet is 398 dagen. Volgens voorstel SC-081v3, goedgekeurd op 11 april 2025, wordt deze geleidelijk afgebouwd naar 200 dagen in maart 2026, 100 dagen in maart 2027 en 47 dagen in maart 2029. Dit is geen voorstel meer, maar een bevestigd schema met vaste data.

Dit betekent dat verlenging niet langer een jaarlijkse taak is, maar een continu operationeel proces. Organisaties die nog niet investeren in TLS-certificaatautomatisering, zullen vast komen te zitten in een cyclus van handmatige verlengingen die kostbare ontwikkeltijd kost en het risico op storingen vergroot.

Begin nu met de voorbereiding. Analyseer uw huidige verlengingsworkflows, identificeer handmatige stappen en test automatiseringsoplossingen in een omgeving met een laag risico. Organisaties die deze infrastructuur vandaag opzetten, zijn klaar voor kortere geldigheidsperioden. Wie wacht, zal het moeilijk krijgen.

Hoe encryptieconsultancy kan helpen

Alles wat in deze blog aan bod komt – het bijhouden van vervaldatums, het automatiseren van verlengingen, het opbouwen van een certificaatinventaris en het voorbereiden op kortere geldigheidsperioden – is precies waarvoor CertSecure Manager is ontworpen.

CertSecure Manager is het platform voor certificaatlevenscyclusbeheer van Encryption Consulting, speciaal ontworpen om beveiligingsteams volledig inzicht en controle te geven over elk TLS-certificaat in hun omgeving. Of u nu honderden of duizenden certificaten beheert, verspreid over webservers, loadbalancers, cloudservices en interne systemen, CertSecure Manager centraliseert alles op één plek.

Certificaatlevenscyclusbeheer is een onderdeel van een breder programma voor cryptografische flexibiliteit. Naarmate de geldigheidsperioden korter worden en certificaatautomatisering verplicht in plaats van optioneel wordt, strekt dezelfde discipline van ontdekking en inventarisatie zich uit tot post-quantum gereedheid. Het PQC Center of Excellence en de PQC- gereedheidsbeoordelingen van Encryption Consulting bouwen voort op dezelfde certificaat- en sleutelinventaris die CertSecure Manager beheert, terwijl CBOM Secure die inventaris uitbreidt tot een volledige cryptografische materiaallijst. Zie onze handleiding over het omzetten van een CBOM-inventaris in bruikbare informatie om te zien hoe de twee initiatieven met elkaar verbonden zijn.

Dit is wat het direct aanpakt met betrekking tot de uitdagingen die in deze blog worden besproken:

Geautomatiseerde certificaatdetectie: CertSecure Manager scant uw hele infrastructuur om elk certificaat te vinden, inclusief certificaten van verborgen IT-systemen en certificaten die gekoppeld zijn aan verouderde systemen die vaak buiten de standaard traceerprocessen vallen. U beschikt vanaf dag één over een complete inventaris.

Geautomatiseerde verlenging: In plaats van te vertrouwen op handmatige herinneringen of het bijhouden in spreadsheets, automatiseert CertSecure Manager het verlengingsproces, zodat certificaten volgens schema worden verlengd zonder menselijke tussenkomst. Dit is cruciaal, aangezien de geldigheidsperioden van certificaten oplopen tot 200 dagen, vervolgens 100 dagen en uiteindelijk 47 dagen in 2029.

Vervalwaarschuwingen in meerdere fasen: Het platform geeft ruim voor de vervaldatum een ​​melding bij certificaten, waardoor uw team voldoende tijd heeft om actie te ondernemen voordat een deadline een crisis wordt.

Intrekking en OCSP-monitoring: CertSecure Manager bewaakt de intrekkingsstatus van uw certificaten, zodat ingetrokken certificaten worden opgemerkt voordat ze serviceonderbrekingen veroorzaken.

Auditspoor voor naleving: Elke gebeurtenis in de levenscyclus van een certificaat, zoals uitgifte, verlenging en intrekking, wordt geregistreerd. Dit biedt u de documentatie die vereist is door regelgeving zoals PCI DSS, HIPAA en FedRAMP.

Certificaat gereedheid binnen 47 dagen: CertSecure Manager is ontworpen om grootschalige, frequente verlengingen af ​​te handelen, zodat uw team niet overspoeld wordt met handmatig werk wanneer de CA/Browser Forum de geldigheidsperioden verder verkort.

Als uw organisatie TLS-certificaten nog steeds handmatig beheert of afhankelijk is van eenvoudige agendaherinneringen, is het nu het juiste moment om daar verandering in te brengen. De tijd om u comfortabel voor te bereiden raakt op.

Conclusie

TLS-certificaten vereisen actief beheer gedurende hun hele levensduur. Elke datum in de levenscyclus van een TLS-certificaat, van uitgifte en verlenging tot vervaldatum of intrekking, is een moment waarop uw team de controle behoudt of juist achterop raakt.

Met de juiste strategie voor certificaatlevenscyclusbeheer, gebaseerd op inzicht, TLS-certificaatautomatisering, consistente waarschuwingen en gedocumenteerde processen, wordt certificaatbeheer een betrouwbare routine in plaats van een noodreactie.

Veelgestelde Vragen / FAQ

Wat is de belangrijkste conclusie uit de TLS-certificaatlevenscyclus-tijdlijn: belangrijke data die elk team moet kennen?

De TLS-certificaatlevenscyclus laat zien dat elk certificaat een vaste set datums heeft: uitgiftedatum, geldigheidsperiode (niet voor en niet na), verlengingsperiode en verval- of intrekkingsdatum. Het handmatig bijhouden van deze datums is niet schaalbaar, aangezien het CA/Browser Forum de maximale geldigheidsduur tegen maart 2029 terugbrengt tot 47 dagen. Geautomatiseerde detectie, verlenging en waarschuwingen zorgen ervoor dat deze tijdlijn niet onbruikbaar wordt.

Waarom is dit belangrijk voor het beheer van de levenscyclus van bedrijfscertificaten?

Uit het Trust Pulse-onderzoek van DigiCert bleek dat 45% van de organisaties het afgelopen jaar te maken heeft gehad met uitval als gevolg van certificaten, en dat 37.5% de oorzaak hiervan kon toeschrijven aan een verlopen certificaat. Naarmate de vernieuwingsfrequentie met ongeveer een factor acht toeneemt bij een standaardtermijn van 47 dagen, wordt elke handmatige stap in de levenscyclus een steeds vaker voorkomende bron van storingen. Dit is precies wat enterprise certificaatlevenscyclusbeheer probeert te voorkomen.

Welke teams zijn verantwoordelijk voor de uitvoering van deze richtlijnen?

PKI-teams beheren de uitgifteketen en de relaties met certificeringsinstanties. Beveiligingsteams zijn verantwoordelijk voor het monitoren van intrekkingen en de reactie wanneer een sleutel mogelijk is gecompromitteerd. Platform- en DevOps-teams beheren de automatisering en implementatie van verlengingen. Compliance-teams beheren het auditspoor dat bewijst dat elke gebeurtenis in de levenscyclus – uitgifte, verlenging en intrekking – correct is afgehandeld.

Welke risico's nemen toe als dit onderwerp handmatig wordt behandeld?

Handmatige registratie vergroot de kans op gemiste verlengingen en de daaruit voortvloeiende storingen aanzienlijk, vooral naarmate de geldigheidsperioden korter worden. Het maakt het ook lastiger om ingetrokken certificaten te detecteren voordat ze een incident veroorzaken, en compliance-teams beschikken niet over een betrouwbaar auditspoor tijdens PCI DSS-, HIPAA- of FedRAMP-audits. Het ITIC-rapport '2024 Hourly Cost of Downtime' schat de gemiddelde kosten van één uur downtime op meer dan $ 300,000 voor de meeste middelgrote en grote bedrijven, een kostenpost die handmatige certificaatregistratie direct in gevaar brengt.

Hoe vermindert automatisering het risico op certificaatuitval?

Geautomatiseerde verlenging zorgt ervoor dat een certificaat van begin tot eind, van detectie van vervaldatum tot heruitgave en implementatie, zonder menselijke tussenkomst of vertraging, wordt verwerkt. In combinatie met continue CRL- en OCSP-monitoring detecteert automatisering een ingetrokken of bijna verlopen certificaat voordat de service die het gebruikt uitvalt, in plaats van nadat er al een browserwaarschuwing of storing is opgetreden.

Welke statistieken moeten teams bijhouden na de implementatie?

Houd bij welk percentage van de certificaten automatisch versus handmatig wordt vernieuwd, het aantal storingsmeldingen met betrekking tot certificaten per kwartaal in vergelijking met de situatie vóór de automatisering, de tijd die nodig is om een ​​ingetrokken certificaat te detecteren en te herstellen, en de bevindingen van audits met betrekking tot ontbrekende of verlopen certificaten tijdens compliance-audits.

Hoe hangt dit samen met de 47-daagse TLS-certificaatgereedheid?

Het voorstel SC-081v3 van het CA/Browser Forum, goedgekeurd op 11 april 2025, verlengt de maximale geldigheidsduur van openbare TLS-certificaten van 398 dagen nu naar 200 dagen in maart 2026, 100 dagen in maart 2027 en 47 dagen in maart 2029. Dit betekent een verachtvoudige verhoging van de vernieuwingsfrequentie. Elke datum op deze tijdlijn – uitgifte, vernieuwingsperiode en vervaldatum – komt nu veel vaker voor, waardoor automatisering niet langer optioneel is.

Hoe moet dit worden aangepakt in multi-cloud- of hybride PKI-omgevingen?

Pas dezelfde methoden voor certificaatdetectie, het bijhouden van verlengingsperioden en het monitoren van intrekkingen consistent toe op elke CA, cloudprovider en on-premises omgeving, in plaats van één proces te automatiseren en een ander handmatig te beheren. Een gecentraliseerde certificaatinventaris die AWS, Azure, Google Cloud en on-premises CA's omvat, voorkomt dat een certificaat in een over het hoofd geziene omgeving ongemerkt verloopt.