Foto: Freepik

Let’s Encrypt mění certifikáty. Pro většinu webů se ale nic nemění

Bezplatná certifikační autorita Let’s Encrypt, která stojí za zabezpečením milionů webových stránek po celém světě, oznámila klíčovou změnu ve způsobu, jakým vydává certifikáty. Od května 2026 už její certifikáty nebudou obsahovat rozšíření EKU (Extended Key Usage) pro TLS Client Authentication – tedy schopnost, kdy se certifikát používá k ověřování klienta vůči serveru.

Drtivá většina webových stránek však tento způsob zabezpečení nepoužívá. Pro běžné HTTPS certifikáty, které slouží k ochraně komunikace mezi uživatelem a serverem, postačuje EKU pro TLS Server Authentication – a ten Let’s Encrypt nadále podporovat bude.

SSL Certifikát
SSL Certifikát

Foto: Freepik

Co je TLS Client Authentication a proč se mění?

Každý digitální certifikát obsahuje informaci o tom, k čemu je určen. Právě rozšířené použití klíče (EKU) určuje, zda certifikát může být použit k autentizaci serveru, klienta, podepisování kódu apod.

Certifikáty Let’s Encrypt dosud obsahovaly dvě EKU:

  • TLS Server Authentication – běžné použití na webových serverech (HTTPS),
  • TLS Client Authentication – méně časté použití, kdy se certifikátem ověřuje klient (např. uživatel nebo služba vůči serveru).

Změna je reakcí na nové požadavky programu Google Chrome, který vyžaduje oddělení certifikátů pro serverové a klientské ověřování. Aby Let’s Encrypt zůstala kompatibilní s těmito požadavky, rozhodla se trvale ukončit podporu klientského ověřování ve svých certifikátech.

Harmonogram změn: co se bude dít?

Let’s Encrypt zavede změnu postupně, aby poskytovatelé služeb a vývojáři měli čas na přechod. Harmonogram vypadá následovně:

  • Už nyní: Certifikáty vydané přes profil tlsserver již klientské EKU neobsahují.
  • 1. října 2025: Spuštění dočasného profilu tlsclient, který EKU pro klientské ověřování ještě zahrne. Je určen pro uživatele, kteří potřebují více času na přechod.
  • 11. února 2026: Klasický výchozí profil classic ztratí podporu TLS Client Authentication.
  • 13. května 2026: Profil tlsclient bude ukončen. Od této chvíle nebude Let’s Encrypt vydávat žádné certifikáty s EKU pro klientské ověřování.

Od tohoto okamžiku budou všechny nově vydávané certifikáty Let’s Encrypt určeny výhradně pro zabezpečení serverových spojení.

Koho se to týká a co je potřeba udělat

Pokud certifikáty Let’s Encrypt používáte jen pro HTTPS na webu (což platí pro většinu případů), nemusíte dělat vůbec nic. Vaše zabezpečení nebude nijak ovlivněno.

Pokud ale certifikáty Let’s Encrypt používáte v rámci:

  • interních systémů,
  • API, které vyžaduje oboustranné ověření (mutual TLS),
  • VPN připojení nebo autentizace klientů certifikátem,

pak je čas začít plánovat přechod. Nejlepší alternativou je přejít na soukromou certifikační autoritu (Private CA), která vám umožní vystavovat certifikáty podle vlastních pravidel.

Závěr: Je čas zkontrolovat, jak používáte certifikáty

Změna, kterou Let’s Encrypt zavádí, je technicky logická a odpovídá novým standardům důvěry v prohlížečích. Přesto by měli správci webů, interních systémů a serverových služeb zpozornět a ověřit, zda jejich infrastruktura TLS Client Authentication vůbec využívá.

Většina webových stránek a veřejných služeb zůstane bez dopadu. Ale pro pokročilejší systémy může být květen 2026 klíčovým datem, kdy se bez přechodu na jiný typ certifikace některé služby přestanou autentizovat.

Zdroj: Letsencrypt.org (odkaz)