Let‘s Encrypt将从2027年2月起缩短证书有效期至64天

Lets Encrypt正在推进更严格的安全策略计划从2027年2月10日起将免费SSL/TLS证书的有效期从90天缩短至64天。对于已经采用支持ARIACME续期信息功能的现代ACME客户端的管理员来说这一变化应该是无缝衔接的。但对于仍依赖硬编码续期计划或手动流程的用户而言2月将是必须完成系统更新的截止期限否则证书可能会在未预期的情况下突然过期。从10月14日起Lets Encrypt将开始测试64天期限的证书有兴趣的用户可以提前接入测试环境验证自身系统的兼容性。在Lets Encrypt于2016年初上线之前证书的有效期通常长达一到三年。该服务最初推出90天证书目的是推动此前并不存在的自动化续期机制的建立。更短的证书有效期能够限制私钥被盗带来的安全隐患同时也加速了整个互联网范围内HTTPS的普及。此举在当时颠覆了行业惯例但通过限制证书有效期一旦证书遭到泄露或错误签发造成的损害也会相应减小。缩短至64天延续了这一逻辑思路而且随着时间推移证书有效期还将继续缩短预计2028年将进一步降至45天的默认期限。正如Lets Encrypt最初推出时旨在推动用户转向HTTPS一样此次缩短证书有效窗口的目的在于推动用户全面采用ACME自动化机制。ACME协议尤其是其中的ARIACME续期信息功能能够让证书颁发机构主动告知客户端何时需要续期。尽管ARI具备这一能力但许多部署仍停留在按固定时间间隔触发的脚本化更新模式比如“到期前60天”这类设定。Lets Encrypt此时提前发布这一信息是为了提醒这些用户及时审查自己的定时任务和运维手册确保在证书生命周期的三分之二时间点自动触发续期操作并借此为2028年进一步缩短至45天证书有效期做好准备。网站管理员现在可以采取的措施该公司特别建议用户检查系统中是否存在硬编码的续期天数设置例如83、80和60这些是此前90天证书常见的续期目标值并将其更新为适应新的64天期限、确保在到期前完成续期的数值。确认你的ACME客户端是否支持ARI功能如果不支持应及时更新续期脚本。确保在证书过期或续期失败时能够收到相应的通知提醒。充分利用10月14日开始的测试期在正式上线前完成验证工作。除了证书有效期之外Lets Encrypt同样在压缩验证时间窗口。授权复用周期将从30天缩短至10天并最终在2028年压缩至7小时。这一步骤旨在消除对CAA重新检查的需求。大多数运营者除非其ACME客户端依赖缓存的验证数据否则不会察觉到这一变化。在2027年2月10日的截止期限到来之前管理员大约有四个月的时间来测试自己的续期自动化流程否则一旦截止期限到达就可能面临服务中断的风险。QAQ1Lets Encrypt为什么要缩短证书有效期A缩短证书有效期能够限制私钥被盗等安全风险一旦证书遭到泄露或错误签发造成的损害也会相应减小同时也能推动用户全面采用ACME自动化续期机制。Q2证书有效期将如何变化A从2027年2月10日起证书有效期将从90天缩短至64天并计划在2028年进一步缩短至45天的默认期限。Q3网站管理员现在应该做什么准备A管理员应检查并更新硬编码的续期天数设置确认ACME客户端是否支持ARI功能设置证书到期或续期失败的通知提醒并利用10月14日开始的测试期提前验证系统兼容性。