47 dagar gäller inte era egna certifikat

Just nu får många svenska verksamheter höra att certifikatens livslängd kortas dramatiskt, och att de behöver hjälp med det. Det första stämmer. Det andra beror helt på vilka certifikat de har.

Regeln som alla hänvisar till träffar bara en sorts certifikat, och det är sällan den sort som orsakar mest arbete.

Vad som faktiskt beslutades

CA/Browser Forum, samarbetsorganet mellan certifikatutfärdare och webbläsartillverkare, antog i april 2025 ett förslag om successivt kortare livslängder för TLS-certifikat. Schemat ser ut så här:

• 15 mars 2026 — högst 200 dagar. Gäller redan.
• 15 mars 2027 — högst 100 dagar.
• 15 mars 2029 — högst 47 dagar.

Vid 47 dagar förnyas ett certifikat ungefär åtta gånger om året. Har man tvåhundra certifikat och gör det för hand blir det omkring sextonhundra förnyelser årligen. Manuell hantering blir inte besvärlig — den blir praktiskt omöjlig.

Det är den delen som stämmer, och den är värd att ta på allvar.

Men bara för publikt betrodda certifikat

Beslutet ändrar Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates. Namnet är hela poängen. Reglerna binder de certifikatutfärdare vars rotcertifikat följer med i webbläsare och operativsystem — de som gör att ett certifikat är betrott utan att någon behöver göra något.

Er egen utfärdare är inte en av dem. Driver ni en intern PKI, exempelvis Microsoft AD CS, sätter ni själva giltighetstiderna. DigiCert skriver det rakt ut i sin egen vägledning: för en intern certifikatutfärdare är utgångsdatumen era att bestämma.

Ingen webbläsare kommer att börja underkänna era interna certifikat i mars 2029.

Var arbetet oftast sitter

De två grupperna beter sig tvärtom mot vad man kan tro.

De publika certifikaten sitter oftast på lastbalanserare, CDN-tjänster och molnplattformar. Det är också där automatiken kom först — ACME och liknande protokoll har funnits i åratal, alla större utfärdare stödjer dem, och den som en gång blev väckt av ett utgånget certifikat på webbplatsen har i regel redan löst det.

De interna certifikaten sitter på allt annat. Brandväggar, switchar och routrar. Lastbalanserare på insidan. RADIUS-servrar. Managementgränssnitt. Virtualiseringsplattformar. Skrivarservrar. Allt som inte är en domänansluten Windows-maskin och därför inte kan hämta certifikat automatiskt.

Det är den gruppen som förnyas för hand, och det är den gruppen beslutet från CA/Browser Forum inte säger ett ord om.

Det betyder inte att problemet är påhittat. Det betyder att deadline och problem inte hör ihop. Den som säljer er ett projekt med hänvisning till 47 dagar bör kunna förklara vilka av era certifikat som berörs. Är svaret ”de flesta” är det värt att fråga en gång till.

Vad som däremot gäller i Sverige

Två svenska hållpunkter är mer relevanta, och båda handlar om att veta vad man har.

Nationellt cybersäkerhetscenter vid FRA gav 2026 ut nationella rekommendationer för övergången till kvantsäker kryptografi. Rekommendation nummer ett, i den fas som betecknas nu, är att inventera den kryptografi som används i verksamheten. NCSC skriver också att det antagligen krävs specialiserad mjukvara för att skanna systemen: dokumentationen räcker sällan.

Och i föreskrifterna om säkerhetsåtgärder finns ett allmänt råd till 4 kap. 25 § som säger att verksamhetsutövaren bör fastställa kriterier för krypteringsalgoritmer, protokoll och nyckellängder, och fastställa när och hur krypteringsnycklar genereras, distribueras, används, återkallas, skyddas och förstörs.

Notera formuleringen. Det är ett råd, inte ett krav: föreskriften råder, den kräver inte. Men den räknar upp sex steg i en nyckels livscykel, och det är en användbar checklista oavsett vad lagen säger.

Andra stycket i samma paragraf är däremot ett hårt krav: kryptering ska användas för att skydda säkerhetsloggar och autentiseringsuppgifter vid överföring i den digitala miljön. Där är det inte certifikaten som brister, utan de administrativa gränssnitt som fortfarande skickar inloggningar i klartext.

Det rimliga första steget

Inventera. Inte för att ett datum närmar sig, utan för att ingen kan hantera det de inte vet att de har.

En rimlig inventering svarar på fyra frågor: vilka certifikat finns, vem har utfärdat dem, när går de ut, och förnyas de automatiskt eller för hand. Den fjärde frågan går ofta att besvara utan att fråga någon: ett certifikat som förnyas med jämna korta mellanrum sköts av en maskin, ett som förnyas vartannat år sköts av en människa som råkade komma ihåg.

När den bilden finns är det enkelt att avgöra vad som är brådskande. Ofta visar det sig att de publika certifikaten redan är automatiserade och att arbetet ligger någon helt annanstans.

Det är inte ett lika bra säljargument. Det är däremot sant.