Certifikater, domæner og kortudløb: undgå de pinlige udløbsdatoer

Kort svar: De mest pinlige nedbrud skyldes sjældent hackere, men kalenderen: et SSL-certifikat, der udløb („forbindelsen er ikke privat“ på hele sitet), et domæne, der ikke blev fornyet (site og mail død på samme tid), eller et betalingskort bag et abonnement, der udløb i stilhed. Værnet er en udløbsliste med alt, der har en dato eller et kort bagved – med fornyelsesmåde, betalingskilde og varslingsadresse pr. linje. Slå automatisk fornyelse til overalt, hvor det kan lade sig gøre, send varsler til en fælles adresse, og kig på listen hver måned.

Fagligt gennemgået: 2. oktober 2026

Udløbsnedbrud er en særlig art. De varsler sig selv måneder i forvejen og koster stort set intet at forhindre. Alligevel rammer de igen og igen, fordi varslet lå i en forladt indbakke, og fordi „det plejer at køre af sig selv“.

Her er systemet, der fjerner den slags nedbrud: de fire typer udløb, hvorfor automatisk fornyelse ikke er nok, udløbslisten, overvågningen pr. type og den faste rytme.

De fire slags udløb

• Certifikatet: udløber SSL-certifikatet, møder hver besøgende en advarselsside. Sitet er reelt nede, selvom serveren kører – og tilliden får ridser, der varer længere end fejlen.
• Domænet: det alvorligste. Udløber det, forsvinder både site og mail – og dermed også evnen til at modtage udbyderens varsler. Efter registratorens frister kan navnet i værste fald blive frigivet og registreret af andre.
• Kortet: abonnementer på hosting, plugins, overvågning og andre tjenester betales med et kort, der har en udløbsdato. Når kortet udløber, fejler betalingerne stille, én efter én, i ugerne efter.
• Licenser og aftaler: pluginlicenser, der stopper opdateringer (et sikkerhedsproblem mere end et funktionsproblem), og aftaler, der fornyes automatisk til priser, ingen har set på i årevis. Begge hører på samme liste – se site-inventaret.

Hvorfor automatisk fornyelse ikke er nok

Automatisk fornyelse fjerner arbejdet – ikke ansvaret. Kæden har fire led, og hvert af dem kan knække:

• Betalingen: fornyelsen trækker på et kort. Er kortet udløbet eller spærret, fejler den „automatiske“ fornyelse.
• Varslingen: udbyderens påmindelser går til den mailadresse, kontoen blev oprettet med – ofte en tidligere medarbejders eller et tidligere bureaus.
• Teknikken: certifikatfornyelse kan fejle ved DNS-ændringer, domæneflytninger eller proxyopsætninger. Den kører, indtil den ikke gør.
• Ejerskabet: domænet står registreret til en person eller et bureau, der ikke længere er tæt på. Guiden om ejerskab af domæne og hosting viser, hvorfor det skal rettes nu og ikke ved udløb.

Konklusionen er ikke at droppe automatisk fornyelse. Den skal slås til overalt. Men der skal et tyndt lag menneskelig kontrol ovenpå: listen og de rigtige varslingsadresser.

Certifikaterne bliver kortere – automatik er et krav

Branchesamarbejdet CA/Browser Forum har vedtaget, at den maksimale levetid for offentligt betroede TLS-certifikater trinvist bliver kortere fra marts 2026 og ender på 47 dage i marts 2029. Let’s Encrypt-certifikater har i forvejen kort levetid og er bygget til automatisk fornyelse.

For dig betyder det, at manuel fornyelse én gang om året ikke længere er en realistisk model. Certifikater skal fornyes automatisk af hostingen eller af den tjeneste, der står foran sitet – og overvågningen skal fange det, hvis automatikken svigter.

Du kan altid se et certifikats udløbsdato i browseren ved at klikke på ikonet ved adressefeltet og åbne certifikatoplysningerne. Har du adgang til en terminal, kan du tjekke den direkte:

echo | openssl s_client -connect eksempel.dk:443 -servername eksempel.dk 2>/dev/null | openssl x509 -noout -enddate

Kommandoen viser linjen notAfter= med certifikatets udløbstidspunkt. Erstat eksempel.dk med dit eget domæne – og tjek også www-varianten og eventuelle subdomæner.

Udløbslisten

Én tabel med fem kolonner rækker:

Kolonne	Hvad der skal stå	Hvorfor
Hvad	Domæne, certifikat, licens eller aftale – én pr. linje, også ekstra domæner og parkerede varianter	Det, der ikke står på listen, bliver glemt
Udløber	Dato – eller „automatisk“ med fornyelsesmåneden	Giver overblik over de næste 60 dage
Fornyes hvordan	Automatisk eller manuelt, og hos hvilken udbyder	Viser, hvor der skal handles
Betales med	Hvilket kort eller hvilken konto	Når firmakortet skiftes, ses præcis hvilke abonnementer der skal opdateres
Varsles hvor	Mailadressen, udbyderen har registreret	Skal være en fælles postkasse eller et alias, fx drift@

Listen hører hjemme i driftsdokumentationen. Hver ændring – nyt kort, flyttet domæne – føres med det samme, med en linje i ændringsloggen.

Overvågningen pr. type

Certifikater

Lad hostingen stå for fornyelsen. På WordPress hosting hos Hostious er gratis SSL fra Let’s Encrypt inkluderet. Slå derudover certifikattjekket til i uptime-overvågningen som et uafhængigt sikkerhedsnet. Mange overvågningsværktøjer kan advare i god tid før udløb, uanset hvad der ellers fejler.

Domæner

Slå automatisk fornyelse til hos registratoren, sæt varslingsadressen til fællespostkassen, og læg en kalenderpåmindelse 30 dage før hoveddomænets fornyelsesdato. Tre lag sikring for det ene aktiv, hele forretningen hænger på. Er domænet et .dk-domæne, kan du læse om flytning og ejerskab i guiden til at flytte et .dk-domæne.

Betalingskort

Notér kortets udløbsmåned i listen, og kør „nyt kort“-proceduren som én samlet opgave, når banken sender det nye kort. Gå listen igennem kolonne for kolonne, så intet abonnement bliver glemt.

Licenser

Skriv fornyelsesdatoerne i listen, og tjek status ved kvartalstjekket. En licens, der stille er udløbet, ligner et aktivt plugin uden opdateringer – og netop den slags plugins er populære mål for angreb.

Hvis det alligevel er sket

Opdager du et udløb, så handl efter typen:

• Udløbet certifikat: tjek, om automatisk fornyelse er slået fra eller fejler, typisk på grund af DNS eller proxy. Udsted et nyt certifikat, og ryd cache bagefter. Se guiden til udløbet SSL-certifikat.
• Udløbet domæne: kontakt registratoren med det samme. I en periode efter udløb kan domænet ofte genaktiveres, men frister og gebyrer varierer. Se guiden til genaktivering af udløbne domæner.
• Fejlet kortbetaling: opdatér kortet hos udbyderen, og tjek, om tjenesten er suspenderet eller blot venter på betaling.

Rytmen i årshjulet

Driftsrytmen gør resten:

• Hver måned: et blik på listen i månedsrutinen. Udløber noget inden for 60 dage, planlægges fornyelsen nu – ikke i udløbsugen.
• Én gang om året: næste års datoer bekræftes hos udbyderne, varslingsadresserne testes (send en testmail til drift@-aliasset – postkasser dør også stille), betalingskilderne tjekkes mod kortenes udløb, og aftalepriserne gennemgås, så automatisk fornyelse ikke også bliver automatisk fordyrelse.

Det hele er tænkt småt med vilje. Udløbsnedbrud forebygges ikke med værktøjer, men med en liste, en fælles postkasse og fem minutter om måneden – den billigste forsikring i hele Driftshåndbogen.

Læs også

• Hub: Driftshåndbogen
• Uptime-overvågning: værktøjer, intervaller og alarmer
• Site-inventar: plugins, licenser og fornyelser
• SSL-certifikatet er udløbet – hvorfor fornyelsen fejlede
• Domænet er udløbet: frister, redning og forebyggelse
• WordPress hosting hos Hostious – gratis SSL fra Let’s Encrypt og dansk support døgnet rundt

Ofte stillede spørgsmål om udløbsdatoer

Hvad sker der, hvis vores domæne udløber?

Site og mail stopper samtidig – og dermed også udbyderens varsler. Efter registratorens frister kan navnet i værste fald registreres af andre. Automatisk fornyelse, en fælles varslingsadresse og en kalenderpåmindelse er de tre lag sikring.

Vi har automatisk fornyelse – er vi så sikre?

Næsten. Automatisk fornyelse kan fejle på grund af udløbne kort, varsler til gamle mailadresser og teknik, der knækker ved DNS-ændringer. Udløbslisten og en fælles postkasse lukker de huller.

Hvordan overvåger jeg SSL-certifikatet?

Lad hostingen forny automatisk, og slå certifikattjekket til i uptime-overvågningen som et uafhængigt net. Det advarer før udløb, uanset hvad der ellers fejler.

Hvorfor bliver SSL-certifikater kortere?

CA/Browser Forum har vedtaget en trinvis reduktion af den maksimale levetid fra marts 2026, så den ender på 47 dage i marts 2029. Kortere levetid begrænser skaden ved fejlagtige eller kompromitterede certifikater, men kræver automatisk fornyelse.