SSL/TLS-certificaat verlopen: wat nu?

Waarom verloopt een SSL-certificaat?

SSL/TLS-certificaten hebben bewust een beperkte levensduur. Sinds 2020 is de maximale geldigheid teruggebracht naar 398 dagen (ca. 13 maanden). Apple, Google en Mozilla dringen zelfs aan op verdere verkorting naar 90 dagen.

De reden: kortere geldigheid dwingt regelmatige vernieuwing af, wat de veiligheid ten goede komt. Compromitteerde certificaten blijven korter in omloop, en nieuwe cryptografische standaarden worden sneller geadopteerd.

Maar voor websitebeheerders betekent het: als u niet oplet, verloopt uw certificaat en zien bezoekers een afschrikwekkende foutmelding.

Wat gebeurt er als uw certificaat verloopt?

Voor bezoekers

• Browser toont een waarschuwingspagina ("Uw verbinding is niet privé")
• Bezoekers moeten actief doorklikken (de meesten doen dit niet)
• Google Chrome markeert de site als "Niet veilig"
• Moderne browsers blokkeren sommige functionaliteit volledig

Voor uw bedrijf

Soorten SSL/TLS-certificaten

Let's Encrypt: gratis en geautomatiseerd

Let's Encrypt is de meest gebruikte certificaat-autoriteit en biedt gratis DV-certificaten met automatische vernieuwing.

Installatie met Certbot

# Installeer Certbot
sudo apt install certbot python3-certbot-nginx

# Verkrijg en installeer certificaat
sudo certbot --nginx -d uwdomein.nl -d www.uwdomein.nl

# Verifieer automatische vernieuwing
sudo certbot renew --dry-run

Certbot configureert een automatische vernieuwing via cron of systemd timer. Let's Encrypt certificaten zijn 90 dagen geldig en worden standaard 30 dagen voor verloop vernieuwd.

Veelvoorkomende problemen bij automatische vernieuwing

Handmatig vernieuwen

Als automatische vernieuwing niet werkt:

Stap 1: Controleer huidige status

# Bekijk certificaatdetails
openssl s_client -connect uwdomein.nl:443 -servername uwdomein.nl | openssl x509 -noout -dates

# Of via Certbot
sudo certbot certificates

Stap 2: Vernieuw het certificaat

# Forceer vernieuwing
sudo certbot renew --force-renewal

# Of voor een specifiek domein
sudo certbot certonly --nginx -d uwdomein.nl -d www.uwdomein.nl

Stap 3: Herlaad de webserver

# Nginx
sudo nginx -t && sudo systemctl reload nginx

# Apache
sudo apachectl configtest && sudo systemctl reload apache2

Monitoring: voorkom verloop

Wacht niet tot uw certificaat verloopt. Stel monitoring in:

Gratis monitoring-opties

Eenvoudig monitoringscript

#!/bin/bash
DOMAIN="uwdomein.nl"
DAYS_BEFORE_EXPIRY=30
EXPIRY_DATE=$(echo | openssl s_client -servername $DOMAIN -connect $DOMAIN:443 2>/dev/null | openssl x509 -noout -enddate | cut -d= -f2)
EXPIRY_EPOCH=$(date -d "$EXPIRY_DATE" +%s)
NOW_EPOCH=$(date +%s)
DAYS_LEFT=$(( ($EXPIRY_EPOCH - $NOW_EPOCH) / 86400 ))

if [ $DAYS_LEFT -lt $DAYS_BEFORE_EXPIRY ]; then
  echo "WAARSCHUWING: SSL-certificaat van $DOMAIN verloopt over $DAYS_LEFT dagen"
fi

TLS-configuratie best practices

Naast een geldig certificaat is de TLS-configuratie van belang:

Ondersteunde protocollen

Nginx voorbeeld

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
ssl_prefer_server_ciphers off;
ssl_session_timeout 1d;
ssl_session_cache shared:SSL:10m;
ssl_stapling on;
ssl_stapling_verify on;

OCSP Stapling

OCSP Stapling verbetert de privacy en prestatie van certificaatvalidatie. In plaats van dat de browser de CA bevraagt, stuurt uw server het OCSP-response mee.

ssl_stapling on;
ssl_stapling_verify on;
resolver 1.1.1.1 8.8.8.8 valid=300s;
resolver_timeout 5s;

Conclusie

Een verlopen SSL-certificaat is een vermijdbaar probleem met potentieel grote gevolgen. Automatiseer de vernieuwing, stel monitoring in, en controleer uw TLS-configuratie regelmatig.

Scan uw website gratis met WarDek — OWASP, NIS2, AVG, AI Act compliance in één scan.