SSL सर्टिफिकेट की वैधता घटकर 47 दिन: ग्राहकों को चेतावनी दिखने से पहले आपका सर्टिफिकेट कौन रिन्यू करेगा?

SSL सर्टिफिकेट अब कितने समय तक वैध है, और यह कैसे बदलेगा?

SSL सर्टिफिकेट की अधिकतम वैधता अब 200 दिन है, जबकि 15 मार्च 2026 तक यह 398 दिन थी। CA/Browser Forum दुनिया की हर सर्टिफिकेट अथॉरिटी के लिए जो Baseline Requirements तय करता है, उनके अनुसार 15 मार्च 2027 को यह घटकर 100 दिन और 15 मार्च 2029 को 47 दिन रह जाएगी। मुफ्त सर्टिफिकेट जारी करने वाली सबसे बड़ी संस्था Let's Encrypt ने 7 अक्टूबर 2026 को घोषणा की कि 10 फरवरी 2027 से उसके सर्टिफिकेट 90 दिन से घटकर 64 दिन के हो जाएंगे। व्यवहार में, जिस सर्टिफिकेट को आपकी कंपनी पहले साल में एक बार रिन्यू करती थी, उसे अब कम से कम दो बार, फिर चार बार और फिर लगभग आठ बार रिन्यू करना होगा। अगर रिन्यूअल ऐसा काम बना रहा जिसे किसी को याद रखना पड़े, तो एक दिन कोई ग्राहक आपकी वेबसाइट खोलेगा और उसे चेतावनी दिखेगी कि कनेक्शन सुरक्षित नहीं है।

समय-सारिणी: 398 दिन से 47 दिन तक

आख़िरी कॉलम जितना दिखता है उससे ज़्यादा अहम है। डोमेन वैलिडेशन वह चरण है जिसमें आप सर्टिफिकेट अथॉरिटी को साबित करते हैं कि आपका डोमेन आपके नियंत्रण में है, इसके लिए आप एक DNS रिकॉर्ड जोड़ते हैं या अपने सर्वर पर एक फ़ाइल रखते हैं। आज एक वैलिडेशन को 200 दिन तक दोबारा इस्तेमाल किया जा सकता है; मार्च 2029 से यह केवल 10 दिन के लिए मान्य होगा, इसलिए लगभग हर रिन्यूअल के लिए नया वैलिडेशन चाहिए होगा। Forum ने यह समय-सारिणी 11 अप्रैल 2025 को अपनाई, जिसमें 25 सर्टिफिकेट अथॉरिटी ने पक्ष में वोट दिया, किसी ने विरोध नहीं किया, और वोट देने वाले चारों ब्राउज़र निर्माता पक्ष में रहे। यह कोई प्रस्ताव नहीं है जो टल सकता है। यह एक नियम है जिसका पालन हर सर्टिफिकेट अथॉरिटी करती है ताकि ब्राउज़र उसके सर्टिफिकेट पर भरोसा करते रहें।

मुफ्त Let's Encrypt सर्टिफिकेट के लिए क्या बदल रहा है?

कई छोटी और मझोली वेबसाइटें मुफ्त Let's Encrypt सर्टिफिकेट पर चलती हैं, और अक्सर मालिक को इसकी जानकारी भी नहीं होती। इसकी आधिकारिक घोषणा और प्रकाशित समय-सारिणी के अनुसार:

• 14 अक्टूबर 2026: स्टेजिंग वातावरण 64 दिन वाले सर्टिफिकेट जारी करना शुरू करता है, ताकि आप असली तारीख से पहले अपने सिस्टम का परीक्षण कर सकें।
• 10 फरवरी 2027: इस तारीख से जारी या रिन्यू किया गया हर सर्टिफिकेट 64 दिन तक वैध रहेगा, और ऑथराइज़ेशन के दोबारा उपयोग की अवधि 30 दिन से घटकर 10 दिन हो जाएगी।
• 16 फरवरी 2028: वैधता घटकर 45 दिन हो जाएगी, और एक वैलिडेशन केवल 7 घंटे के लिए मान्य रहेगा।

Let's Encrypt एक आम गलती के बारे में चेतावनी देता है: 90 दिन वाले सर्टिफिकेट को ध्यान में रखकर लिखी गई स्क्रिप्ट और शेड्यूल किए गए काम, जिनमें 83, 80 या 60 दिन जैसे तय रिन्यूअल बिंदु होते हैं। इन्हें बदलना होगा। सिफ़ारिश यह है कि सर्टिफिकेट की अवधि के लगभग दो-तिहाई हिस्से पर, यानी 64 में से लगभग 42वें दिन, रिन्यू करें। अगर आपका रिन्यूअल क्लाइंट ACME Renewal Information (ARI) को सपोर्ट करता है, तो किसी बदलाव की ज़रूरत नहीं है, क्योंकि सर्टिफिकेट अथॉरिटी ख़ुद क्लाइंट को बताती है कि कब रिन्यू करना है।

एक और बात: Let's Encrypt ने 4 जून 2025 को समाप्ति की याद दिलाने वाले ईमेल भेजना बंद कर दिया। अगर आप रिन्यू करने की याद दिलाने वाले ईमेल का इंतज़ार कर रहे थे, तो वह नहीं आएगा।

जिस दिन सर्टिफिकेट की अवधि ख़त्म होती है, उस दिन आपके कारोबार का क्या होता है?

• वेबसाइट और ऑनलाइन स्टोर: ब्राउज़र आपकी साइट की जगह पूरे पेज की चेतावनी दिखाता है कि कनेक्शन निजी नहीं है। ज़्यादातर विज़िटर पेज बंद कर देते हैं और लौटकर नहीं आते, और जो आगे बढ़ते हैं वे अपना कार्ड डालते समय चिंतित रहते हैं।
• मोबाइल ऐप: ऐप एन्क्रिप्टेड कनेक्शन के ज़रिए आपके सर्वर से बात करता है और सर्वर के सर्टिफिकेट की अवधि ख़त्म होते ही कनेक्ट करने से इनकार कर देता है। उपयोगकर्ता को एक सामान्य त्रुटि या खाली स्क्रीन दिखती है और उसे पता नहीं चलता कि क्यों।
• दूसरे सिस्टम से इंटीग्रेशन: भुगतान सूचनाएं, शिपिंग इंटीग्रेशन और अकाउंटिंग सिस्टम सभी एन्क्रिप्टेड लिंक पर चलते हैं। समाप्त सर्टिफिकेट इन्हें चुपचाप रोक देता है, और हो सकता है आपको तब पता चले जब भुगतान कर चुका कोई ग्राहक शिकायत करे कि उसका ऑर्डर कभी कन्फ़र्म नहीं हुआ।
• ईमेल और आंतरिक डैशबोर्ड: मेल सर्वर, एडमिन पैनल और कर्मचारियों के टूल के भी सर्टिफिकेट होते हैं, और ये आमतौर पर सबसे ज़्यादा भुला दिए जाते हैं क्योंकि कोई इन्हें रोज़ नहीं देखता।

आपने पूरे एक साल के लिए सशुल्क सर्टिफिकेट ख़रीदा था। क्या बदला?

ख़रीदना अब इंस्टॉल करने के बराबर नहीं है। आज कोई भी सर्टिफिकेट अथॉरिटी आपको 200 दिन से ज़्यादा वैध सर्टिफिकेट जारी नहीं कर सकती, इसलिए वे सालाना सब्सक्रिप्शन बेचती रहती हैं और उसी के भीतर सर्टिफिकेट दोबारा जारी करती हैं। उदाहरण के लिए, SSL.com कहता है कि आपकी ख़रीद अब भी 12 महीने का लाइसेंस है, कि वह अब 198 दिन के लिए वैध सर्टिफिकेट जारी करता है, और आपकी अवधि के भीतर दोबारा जारी करने पर कोई अतिरिक्त शुल्क नहीं लगता। लेकिन हर बार दोबारा जारी करने का मतलब है नया डोमेन वैलिडेशन और सर्वर पर नया इंस्टॉलेशन। मार्च 2027 से ऐसा साल में कम से कम 4 बार होगा, और मार्च 2029 से लगभग 8 बार। सवाल अब यह नहीं है कि सर्टिफिकेट की कीमत क्या है। सवाल यह है कि इसे कौन इंस्टॉल करता है, कितनी बार, और भूल जाने पर ज़िम्मेदारी किसकी है।

आपकी कंपनी के लिए पाँच चरणों की योजना

1. हर सर्टिफिकेट की सूची बनाएं: वेबसाइट, ऑनलाइन स्टोर, मोबाइल ऐप सर्वर, ईमेल, एडमिन पैनल और हर सबडोमेन। हर एक के लिए जारी करने वाली संस्था, समाप्ति तिथि और ज़िम्मेदार व्यक्ति दर्ज करें।
2. रिन्यूअल को ऑटोमेट करें: सर्वर पर रिन्यूअल क्लाइंट के ज़रिए, या ऐसे सर्टिफिकेट के ज़रिए जिन्हें आपका क्लाउड प्रदाता या कंटेंट डिलीवरी नेटवर्क अपने आप मैनेज और रिन्यू करता है। अगर आपका स्टोर किसी होस्टेड प्लेटफ़ॉर्म पर चलता है, तो उससे लिखित में पूछें: क्या वह सर्टिफिकेट अपने आप रिन्यू करता है, और रिन्यूअल विफल होने पर कौन देखता है?
3. स्वतंत्र टूल से समाप्ति की निगरानी करें: यह मानकर न चलें कि ऑटोमेशन काम कर रहा है। मॉनिटरिंग सेवाएं समाप्ति से कई दिन पहले आपको सतर्क करती हैं, और जब Let's Encrypt ने अपने रिमाइंडर ईमेल बंद किए, तो उसने एक मुफ्त मॉनिटरिंग सेवा की ओर इशारा किया जो 250 सर्टिफिकेट तक कवर करती है।
4. पुरानी स्क्रिप्ट जांचें: 90 दिन वाले सर्टिफिकेट के हिसाब से तय संख्याएं खोजें, और स्टेजिंग वातावरण पर रिन्यूअल का परीक्षण करें, जो 14 अक्टूबर से 64 दिन वाले सर्टिफिकेट जारी करना शुरू करता है।
5. अनुबंध में ज़िम्मेदार का नाम लिखें: अपने होस्टिंग या मेंटेनेंस अनुबंध में एक स्पष्ट शर्त जोड़ें कि सर्टिफिकेट का रिन्यूअल और निगरानी प्रदाता की ज़िम्मेदारी है, और अगर कोई सर्टिफिकेट समाप्त हो जाए तो जवाब देने का समय तय हो।

Origami कैसे मदद करता है

Origami में हम जो वेबसाइटें और ऐप बनाते हैं, उनमें सर्टिफिकेट रिन्यूअल पहले दिन से ऑटोमेटेड होता है, और स्वतंत्र निगरानी किसी भी चीज़ की अवधि ख़त्म होने से पहले हमें सतर्क कर देती है, इसलिए कुछ भी किसी की याददाश्त पर निर्भर नहीं रहता। अगर आपके पास पहले से कोई वेबसाइट या सिस्टम है, तो हम लॉन्च के बाद की मेंटेनेंस सेवा के हिस्से के रूप में उसके सर्टिफिकेट की सूची बनाते हैं और उन्हें ऑटोमैटिक रिन्यूअल पर ले जाते हैं, जिसके बारे में हमने लॉन्च के बाद मेंटेनेंस और सपोर्ट पर अपने लेख में बताया है। यह भी देखें: छोटे और मझोले कारोबारों के लिए साइबर सुरक्षा की बुनियादी बातें।

स्रोत

• CA/Browser Forum: TLS सर्वर सर्टिफिकेट के लिए Baseline Requirements, सेक्शन 6.3.2 (वैधता की समय-सारिणी) और सेक्शन 4.2.1 (वैलिडेशन के दोबारा उपयोग की अवधि)
• CA/Browser Forum: वैधता अवधि घटाने की समय-सारिणी पर Ballot SC-081v3 के नतीजे, 11 अप्रैल 2025
• Let's Encrypt: फरवरी 2027 से 64 दिन की सर्टिफिकेट अवधि, 7 अक्टूबर 2026
• Let's Encrypt: 90 से 45 दिन तक, फरवरी 2028 तक की समय-सारिणी
• Let's Encrypt: 4 जून 2025 को समाप्ति सूचना ईमेल बंद
• SSL.com: SSL सर्टिफिकेट की वैधता में बदलाव और आपकी सालाना योजना के लिए उनका अर्थ