LetsEncrypt verkort geldigheid certificaten en komt met nieuwe DNS-challenge

Let's Encrypt gaat de geldigheidsduur van SSL- en TLS-certificaten gefaseerd verkorten tot 45 dagen. Nu zijn de certificaten die het bedrijf uitgeeft nog negentig dagen geldig. Ook komt Let's Encrypt met een nieuwe DNS-challenge om de validatie voor domeincontrole te vereenvoudigen.

Het ACME-profiel tlsserver, dat opt-in is, zal volgens Let's Encrypt vanaf 13 mei 2026 certificaten uitgeven met een geldigheidsduur van 45 dagen. Vanaf 10 februari 2027 schakelt het ACME-profiel classic naar een geldigheidsduur van 64 dagen en vanaf 16 februari 2028 zijn de certificaten in dat profiel 45 dagen geldig. De authorization reuse period, de periode waarin certificaten kunnen worden verlengd of aangevraagd zonder domeincontrole te hoeven uitvoeren, wordt daarbij vanaf 10 februari 2027 verkort naar tien dagen en vanaf 16 februari 2028 naar zeven uur. De veranderingen zijn in lijn met een wijziging van de richtlijnen van het CA/Browser Forum die eerder dit jaar werden aangenomen.

Let's Encrypt erkent dat het aantonen van domeincontrole 'het moeilijkste onderdeel' is van het automatisch uitgeven van certificaten. Dit wordt nog moeilijker door de kortere geldigheidsduur van certificaten en de kortere authorization reuse period. Daarom introduceert het bedrijf ook een nieuwe DNS-challengemethode: DNS-Persist-01. Het belangrijkste voordeel van deze nieuwe methode is volgens het bedrijf dat de DNS TXT-vermelding die wordt gebruikt om controle aan te tonen, niet bij elke vernieuwing hoeft te worden gewijzigd. Let's Encrypt verwacht dat DNS-Persist-01 in 2026 beschikbaar zal komen.

Reacties (7)

[lolgast]

Ik miste het in de tekst want volgens mij is een nadeel van TXT-record authenticatie nu dat je geen wildcard certificaten kan gebruiken. Dat kan dus wel bij het gebruik van een DNS-Persist-01 record. Mits je de juiste parameter meegeeft in het TXT-record

[Barryvdh]

Dat kan nu al wel met de DNS-01 Challenge:

https://letsencrypt.org/docs/faq/#does-let-s-encrypt-issue-wildcard-certificates

Does Let’s Encrypt issue wildcard certificates?

Yes. Wildcard issuance must use the DNS-01 challenge. See this post for more technical information.

[- peter -]

Juist nu is TXT verificatie wel de manier voor wildcards. Je moet een dynamisch TXT record aanmaken via een DNS plugin voor certbot. Gewone certificaten gaan via de .acme-challenge folder via http request en dus geen DNS nodig.

[- peter -]

Zou idd wel fijn zijn als je gewoon handmatig een DNS TXT record eenmalig kan opzetten ipv DNS plugins te gebruiken. Dan hoef je dat maar 1x te regelen en kan je meerdere servers wildcards laten opvragen ipv daar alles weer te configureren.
Maar vraag me dan wel af hoe je je dan authenticeert?

[Reactie gewijzigd door - peter - op 3 december 2025 15:56]

[Barryvdh]

Zo te zien is het gekoppeld aan je account van de certificaat provider (zoals Let's Encrypt), dus zal je daar inloggen en een TXT record krijgen dat gekoppeld is aan jouw account + domein.

[The Zep Man]

Let's Encrypt erkent dat het aantonen van domeincontrole 'het moeilijkste onderdeel' is van het automatisch uitgeven van certificaten. Dit wordt nog moeilijker door de kortere geldigheidsduur van certificaten en de kortere authorization reuse period.

Valt wel mee. Verificatie via HTTP gaat prima als er al een webserver draait om argeloze browsers door te verwijzen naar HTTPS. Met een kleine (statische) toevoeging aan de configuratie van de webserver hoeft Certbot enkel de challenge te plaatsen in de juiste lokale directory zonder verdere acties.

Dit werkt uiteraard niet voor wildcard certificaten, die op andere vormen van verificatie steunen.

[DDX]

Maar hoe zit de verkorte validatie geldigheid :

De authorization reuse period, de periode waarin certificaten kunnen worden verlengd of aangevraagd zonder domeincontrole te hoeven uitvoeren, wordt daarbij vanaf 10 februari 2027 verkort naar tien dagen en vanaf 16 februari 2028 naar zeven uur.

Als de acme-dns-persist juist weer langer geldig is ?