Wie erneuere ich ein Zertifikat?

Ab Tarif Pro

Kurzantwort

Notory erneuert Zertifikate nicht selbst. Die Erneuerung passiert bei deiner Zertifizierungsstelle (CA, z. B. via ACME/certbot). In Notory pflegst du das Ergebnis nach: Öffne das Zertifikat zum Bearbeiten, aktualisiere Gültig ab/bis und den Fingerprint und setze den Status zurück auf Aktiv. Das Kennzeichen Auto-Erneuerung markiert Zertifikate, die außerhalb von Notory automatisch verlängert werden.

Voraussetzungen

Teil des Zertifikate-Moduls und damit ab Tarif Pro verfügbar (Feature certificates).

Der Erneuerungs-Workflow

Ablauf erkennen: über die nach Gültig bis sortierte Liste bzw. den Status Läuft bald ab (siehe Ablauf-Überwachung).
Zertifikat bei der CA erneuern: außerhalb von Notory (ACME/certbot, Zertifikatsportal des Anbieters …) und auf den Systemen ausrollen.
Eintrag in Notory aktualisieren: neue Gültigkeitsdaten und neuen Fingerprint eintragen, Status zurück auf Aktiv (siehe Anleitung unten).

Zertifikat zum Bearbeiten öffnen. Wähle in der linken Navigation Zertifikate und klicke beim betroffenen Eintrag auf das Stift-Symbol (Bearbeiten).
Neue Daten eintragen. Aktualisiere im Dialog:
- Gültig ab / Gültig bis: die Laufzeit des erneuerten Zertifikats.
- Fingerprint (SHA-256): der Fingerprint ändert sich bei jeder Erneuerung.
- Status: zurück auf Aktiv (falls er auf „Läuft bald ab” oder „Abgelaufen” stand).
- Bei Bedarf Schlüsseltyp/-länge, falls der Schlüssel neu erzeugt wurde.
Screenshot ausstehend zertifikate-erneuern-01 Dialog 'Zertifikat bearbeiten' mit aktualisierten Feldern Gültig ab, Gültig bis, Fingerprint und Status Aktiv

Nach der Erneuerung: neue Laufzeit und neuer Fingerprint, Status zurück auf 'Aktiv'.
Speichern. Das Zertifikat sortiert sich in der Liste anhand des neuen Ablaufdatums nach hinten ein.

Per REST-API ist die Erneuerung ein PUT auf das bestehende Zertifikat. Nur die geänderten Felder mitsenden:

curl -X PUT https://demo.notory.io/api/v1/certificates/c4e8b2a1-6f37-4d90-8b52-1a7c3e9d0f68 \
  -H "Authorization: Bearer inv_dein_token" \
  -H "Content-Type: application/json" \
  -d '{
    "valid_from": "2026-07-28T00:00:00Z",
    "valid_to": "2026-10-26T00:00:00Z",
    "fingerprint_sha256": "3A:1F:9C:57:B2:E8:0D:44...",
    "status": "active"
  }'

Antwort HTTP 200 OK mit dem aktualisierten Eintrag:

{
  "id": "c4e8b2a1-6f37-4d90-8b52-1a7c3e9d0f68",
  "common_name": "www.example.com",
  "valid_from": "2026-07-28T00:00:00Z",
  "valid_to": "2026-10-26T00:00:00Z",
  "fingerprint_sha256": "3A:1F:9C:57:B2:E8:0D:44...",
  "status": "active",
  "auto_renew": true,
  "updated_at": "2026-07-28T06:12:09Z"
}

Ein abgelöstes, nicht mehr genutztes Zertifikat kannst du alternativ auf "status": "revoked" setzen und das Nachfolger-Zertifikat als neuen Eintrag anlegen (POST /api/v1/certificates), sodass die Historie beider Laufzeiten erhalten bleibt.

Mögliche Fehler: 401 (Token fehlt/ungültig), 403 (kein Schreibrecht oder Zertifikate-Modul nicht im Tarif), 404 (Zertifikat nicht gefunden), 422 (Validierung).

Was passiert dabei?

Aktualisierung statt Automatik: Notory führt keine Erneuerung durch und ändert den Eintrag nicht selbsttätig, auch nicht bei gesetzter Auto-Erneuerung. Das Flag ist eine Kennzeichnung („dieses Zertifikat verlängert sich außerhalb von Notory automatisch”), damit du weißt, wo manuelles Handeln nötig ist.
Neusortierung: Mit dem neuen Gültig bis wandert das Zertifikat in der nach Ablauf sortierten Liste nach hinten.
Audit-Trail: Die Änderung wird mit updated_by und updated_at protokolliert.
Keine E-Mail, kein Webhook: Die Aktualisierung löst keine Benachrichtigungen aus.
Zwei gültige Strategien: Eintrag aktualisieren (eine fortlaufende Akte pro Domain) oder neu anlegen + alten widerrufen (vollständige Historie). Wähle je Team-Konvention. Notory erzwingt keine der beiden.