Levensduur certificaten verkort naar 47 dagen

[Briolet]

Het is de bedoeling dat browsers straks certificaten gaan verwerpen die ouder zijn dan 47 dagen. Nu is dat nog 13 maand.  Security.nl

Op die manier moet je wel een automatisch systeem hebben om certificaten te gaan vervangen. 

[sarausa]

Google Chrome and Mozilla are experimenting with a "cert freshness" mechanism, which forces certificates to be fresh within a specific time period (e.g. no more than 90 days old, and must be updated 1–2 months earlier).

[ladygaga]

Is er al een makkelijke manier om dit te automatiseren binnen DSM?

[Briolet]

Als het zover komt zal DSM vast een update krijgen waarbij de huidige update vaker aangeroepen wordt. Op het moment start de updater slechts 1x per week en worden alle certificaten die binnen 1 maand aflopen vervangen. Als dat een of twee keer niet goed gaat is  er nog niets aan de hand.

Overigens is Let's Encrypt sinds 1 juli begonnen met het uitgeven van certificaten op basis van een IP adres.  (bron) Dit wordt nog niet door DSM ondersteund.  Verder is Let's Encrypt al in februari van dit jaar begonen met het uitgeven van certificaten die maar 6 dagen geldig zijn voor een kleine groep gebruikers. Eind van dit jaar moet het voer iedereen beschikbaar komen. (bron) Dan blijf je aan het updaten.

[Humbard]

Klopt, dit maakt handmatig verlengen onpraktisch. Een oplossing is om Let's Encrypt of een vergelijkbare dienst met automatische renewals via ACME te gebruiken. Heb je die al in je setup?