Let's Encrypt certificate कैसे renew करें

Let’s Encrypt certificates 90 days के लिए valid हैं। Safety margin के लिए आपको day 60 से पहले renew करना चाहिए। यहाँ GetHTTPS (manual) और Certbot (automatic) से renew करने का तरीका बताया गया है।

Method 1: GetHTTPS से renewal (manual)

Original certificate पाने के लिए use किए गए वही steps repeat करें:

1. gethttps.com/app/setup पर जाएँ
2. वही domains enter करें
3. HTTP-01 या DNS-01 challenge complete करें (पहले की तरह)
4. नई certificate files download करें
5. Server पर पुरानी files replace करें:

   sudo cp fullchain.pem /etc/ssl/gethttps/fullchain.pem
   sudo cp privkey.pem /etc/ssl/gethttps/privkey.pem
   sudo systemctl reload nginx  # या apache2/httpd

Time: एक बार कर लेने के बाद 2-3 minutes।

कब use करें: आपके पास Certbot install करने के लिए server access नहीं है, आप कम domains manage करते हैं, या आप software install नहीं करना prefer करते हैं।

Method 2: Certbot के साथ automatic renewal

अगर आपके server पर Certbot installed है, तो renewal automatically होता है:

# Check करें कि auto-renewal set up है या नहीं
sudo systemctl list-timers | grep certbot

# Testing के लिए manual dry-run
sudo certbot renew --dry-run

# अभी renew करें
sudo certbot renew

Certbot का systemd timer (या cron job) दिन में दो बार run होता है और expiry से 30 days पहले certificates renew करता है।

कब use करें: आपके पास server तक root access है और zero-touch renewal चाहते हैं।

अपने certificate की expiry कैसे check करें

# Server से check करें
openssl x509 -noout -enddate -in /etc/ssl/gethttps/fullchain.pem

# Remotely check करें
echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -enddate

Output example: notAfter=Aug 5 12:00:00 2026 GMT

Reminder set करें

• Day 0: Certificate issued (90 days valid)
• Day 60: Renewal (recommended — 30-day safety margin)
• Day 90: Certificate expired — site security warning दिखाती है

Day 60 के लिए calendar reminder set करें। अगर आप multiple domains manage कर रहे हैं, तो upcoming expiries पर alerts के लिए monitoring service use करें।

Step-by-step: GetHTTPS के साथ renewal

यहाँ manual renewal की exact process है:

1. Current expiry check करें (optional लेकिन good practice):

   echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -enddate

2. gethttps.com/app/setup पर जाएँ

3. वही domains enter करें जो original certificate में थे

4. Challenge complete करें — पहली बार की तरह:

   • HTTP-01: अपने server पर नई token file रखें
   • DNS-01: _acme-challenge TXT record को नई value से update करें

5. नई certificate files download करें

6. अपने server पर replace करें:

   sudo cp fullchain.pem /etc/ssl/gethttps/fullchain.pem
   sudo cp privkey.pem /etc/ssl/gethttps/privkey.pem

7. Web server reload करें (restart नहीं — reload existing connections तोड़े बिना नई files apply करता है):

   sudo systemctl reload nginx    # Nginx
   sudo systemctl reload apache2  # Apache/Debian
   sudo systemctl reload httpd    # Apache/CentOS

8. Verify करें कि नया certificate active है:

   echo | openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -dates

Total time: एक बार कर लेने के बाद 2-3 minutes।

Renewal comparison: manual vs automatic

Root access वाले production servers के लिए, automatic renewal के लिए Certbot set करें। Root access के बिना environments के लिए, GetHTTPS manual renewal ही only option है।

47-day future

CA/Browser Forum ने maximum certificate validity reduce करने के लिए vote किया:

2029 तक, आपको करीब हर 30-35 days में renew करना होगा। यह automatic renewal (Certbot) को तेज़ी से critical बनाता है। Manual workflow (GetHTTPS) के लिए, ज़्यादा frequent reminders set करने पर consider करें।

FAQs

क्या मैं certificate expire होने से पहले renew कर सकता हूँ?

हाँ। Let’s Encrypt किसी भी time renewal allow करता है। नया certificate नई 90-day validity period के साथ fresh start होता है। Early renewal से कोई remaining time waste नहीं होता — यह बस पुराने certificate को replace कर देता है।

क्या मुझे हर बार challenge दोबारा करना होगा?

हाँ। हर renewal के लिए नए domain validation challenge की ज़रूरत होती है। यह एक security feature है — यह confirm करता है कि आप अभी भी domain को control करते हैं।

क्या renewal से downtime होगा?

नहीं, अगर सही तरीके से किया जाए। नई files upload करें और web server को reload (restart नहीं) करें। nginx -s reload और apachectl graceful existing connections तोड़े बिना new connections पर नया certificate apply करते हैं।

क्या मैं पहले certificate के लिए GetHTTPS और renewal के लिए Certbot use कर सकता हूँ?

हाँ। Certificate files standard PEM format हैं। आप GetHTTPS से पहला certificate generate कर सकते हैं, फिर ongoing automatic renewal के लिए Certbot install कर सकते हैं। वे mutually exclusive नहीं हैं। Detailed comparison →

अगर मैं renewal deadline miss कर गया और मेरा certificate expire हो गया तो?

आपकी site browser security warning दिखाती है, लेकिन solution simple है: GetHTTPS पर जाएँ, नया certificate पाएं, files replace करें, server reload करें। 5 minutes लगते हैं। Certificate expire होने देने पर Let’s Encrypt से कोई penalty नहीं है — बस नया get करें।

क्या renew करते समय मुझे वही key pair use करना होगा?

नहीं। GetHTTPS हर बार एक नया key pair generate करता है, जो actually better security practice (key rotation) है। Server को फ़र्क नहीं पड़ता कि नया certificate different key use करता है — बस fullchain.pem और privkey.pem दोनों को एक साथ replace करें।

Wildcard certificate कैसे renew करें?

Initial issue की वही process: GetHTTPS पर जाएँ, *.example.com enter करें, DNS में नया _acme-challenge TXT record जोड़ें, verify करें, download करें। हर बार DNS access चाहिए क्योंकि wildcard certificates के लिए DNS-01 ज़रूरी है।