eMudhra verlaat de wereldwijde TLS-certificaatmarkt

eMudhra stapt uit de wereldwijde markt voor SSL/TLS-certificaten en belooft getroffen klanten gratis vervanging via partners, maakte het bestuur donderdag 22 oktober bekend.

Voor een Nederlandse webshop, API-dienst of SaaS-platform dat op eMudhra-certificaten vertrouwt, verandert de continuïteitsvraag in een leverancierswissel. Certificaten en hun vervanging moeten traceerbaar zijn bij websites, API’s en andere systemen die de keten opslaan of installeren.

Gratis vervanging heeft nog geen einddatum

eMudhra zegt dat zijn G1 RSA-roots klanten blijven bedienen totdat de overgang is afgerond. Het bedrijf werkt naar eigen zeggen met browserprogramma’s en klanten aan die overstap. Getroffen klanten worden benaderd om via partners kosteloos een vervangend certificaat te krijgen. De status- en intrekkingsdiensten blijven actief totdat elk uitgegeven certificaat is verlopen of vervangen. eMudhra zegt ook de resterende verplichtingen aan browserprogramma’s af te maken, waaronder een volledig rapport over de oorzaak.

De aankondiging noemt geen datum waarop iedere klant bericht krijgt, geen uiterste datum per certificaatketen en geen namen van de partners die vervanging leveren. Een organisatie kan dus wel uit de release afleiden dat vervanging gratis wordt aangeboden, maar nog niet wanneer haar eigen configuratie moet veranderen. De belofte dat status- en intrekkingsdiensten blijven lopen, is geen klantgericht migratieschema.

Voor de overgang is een actueel overzicht nodig van waar certificaten worden gebruikt, wie verlengingen beheert en welke systemen een vervanging installeren. Een cybersecurity-basischeck die softwareafhankelijkheden en herstel in een halve dag doorloopt biedt daarvoor een breder inventariskader.

De exit gaat verder dan zes intermediairs

Het bestuursbesluit geldt voor de volledige wereldwijde SSL/TLS-certificaatdienst. Het volgt op de blokkade door Google en Mozilla van zes eMudhra-TLS-intermediairs, maar beperkt zich niet tot die certificaatketen. eMudhra schrijft dat SSL/TLS ongeveer 1 procent van zijn wereldwijde omzet bijdraagt. Het bedrijf noemt oplopende eisen rond gegevenssoevereiniteit en naleving, hogere complexiteit en kosten, en gratis certificaataanbieders die het rendement verder verkleinen. Het bedrijf schrijft ook dat de aandacht rond het incident buiten verhouding staat tot het aandeel van deze activiteit in de omzet.

eMudhra zegt dat het de getroffen CA’s binnen 14 uur na ontdekking introk en dat die geen eindgebruikerscertificaten hadden uitgegeven. Het bedrijf zegt ook dat zijn infrastructuur niet is binnengedrongen en dat er geen gegevens zijn buitgemaakt.

Dat omzetpercentage beschrijft eMudhra’s inkomsten, niet hoeveel websites, API’s of interne clients van een certificaatketen afhangen. Voor klanten maakt de omvang van de leverancier dus niet duidelijk hoeveel eigen systemen geraakt worden. De inventaris moet per domein en toepassing laten zien of een TLS-certificaat via eMudhra loopt.

De aankondiging maakt ook onderscheid tussen de wereldwijde TLS-dienst en andere producten. eMudhra zegt dat zijn digitale handtekeningcertificaten, eSign- en andere ondertekendiensten, de Indiase activiteiten, enterprise-PKI-oplossingen emCA en CertiNext, emSigner en de identiteitsdiensten SecurePass en emAS normaal blijven werken. Het bedrijf zegt dat de TLS-infrastructuur losstaat van die andere activiteiten. Een organisatie die meerdere eMudhra-diensten afneemt, moet daarom per dienst vaststellen welke contractuele en technische relatie verandert.

De browserdatum is scherper dan de exitdatum

De aankondiging van 22 oktober komt één dag na de eerdere blokkade van de TLS-intermediairs. Google verwacht dat emSign ECC Root CA - G3 op 27 oktober uit de Chrome Root Store wordt verwijderd. Websites waarvan certificaten via die root lopen, moeten volgens Google vóór die omschakeling een nieuw TLS-certificaat uit een andere PKI-hiërarchie installeren om onderbreking te voorkomen. Ook legitieme certificaten onder deze root kunnen in Chrome stoppen met werken.

eMudhra noemt in zijn overgangsbelofte juist de G1 RSA-roots. Dat is een andere rootfamilie dan de emSign ECC Root CA - G3 waarop de Chrome-datum betrekking heeft. De mededeling over doorlopende G1-dienstverlening geeft daarom op zichzelf geen uitstel voor een website die via de ECC-root loopt. De nieuwe release geeft geen klantlijst waarmee een organisatie kan aflezen welke root in ieder certificaatpad zit of of de gratis vervanging vóór 27 oktober wordt geïnstalleerd.

De datum van Google is daarmee een concrete browserdeadline binnen een bredere leveranciersovergang zonder algemene einddatum. De overgang vraagt meer dan het aanvragen van een nieuw certificaat: de nieuwe keten moet ook terechtkomen op systemen die hun eigen truststore gebruiken. Een browserwissel en het einde van de volledige dienst zijn verschillende gebeurtenissen.

Kortere geldigheid verhoogt de beheerlast

De markt beweegt tegelijk naar kortere looptijden. De CA/Browser Forum-regels beperken de maximale geldigheid van publiek vertrouwde TLS-servercertificaten sinds 15 maart 2026 tot 200 dagen. Vanaf 15 maart 2027 daalt dat maximum naar 100 dagen en vanaf 15 maart 2029 naar 47 dagen. Een certificaat dat dan de maximale termijn benut, moet voor een heel jaar ongeveer acht keer opnieuw worden uitgegeven.

Die regels verplichten niet iedere organisatie om de volledige maximale looptijd te gebruiken. Ze maken wel duidelijk waarom verlengen, uitgeven en installeren steeds vaker als een beheerd proces moeten verlopen. Bij een leverancierswissel komen daar de overdracht van de certificaatketen en controle van clients met een eigen truststore bij. Een automatische verlenging helpt alleen als bekend is welk systeem het certificaat gebruikt en waar de vervanging moet landen.

eMudhra zegt dat vervanging via partners gratis wordt en dat intrekkings- en statusdiensten blijven lopen tot alle uitgegeven certificaten zijn vervangen of verlopen. De browserdatum staat voor één root al op 27 oktober, terwijl de totale overgang geen einddatum heeft. Met de looptijden die richting 47 dagen gaan, bepaalt de kwaliteit van de certificaatinventaris steeds vaker of een leverancierswissel ook buiten de browser netjes wordt uitgevoerd.