Let’s Encrypt ще намали стандартния срок на валидност на своите TLS сертификати от 90 дни на 64 дни на 10 февруари 2027 г., което дава на операторите на уебсайтове по-малко време между подновяванията.

Срок на валидност на сертификатите на Let’s Encrypt

Според съобщението от 7 октомври, публикувано от Let’s Encrypt, организацията с нестопанска цел, функционираща като сертифициращ орган, потвърди графика. Съществуващите сертификати ще останат валидни до техните нормални дати на изтичане и Let’s Encrypt няма да ги отменя в рамките на прехода. Очаква се последният 90-дневен сертификат да изтече на 11 май 2027 г.

По-краткият срок на валидност ограничава времето, през което един сертификат може да остане доверен, след като частен ключ бъде откраднат или сертификатът бъде издаден неправилно. Това прави надеждните системи за подновяване още по-важни, особено за екипи, които все още използват фиксирани графици или ръчни стъпки.

Ходът е част от по-широкото преминаване към по-кратки срокове на валидност на обществените TLS сертификати. Cybersecurity News по-рано отрази плана на CA/Browser Forum за намаляване на максималната валидност до 47 дни.

Let’s Encrypt се движи по-бързо, като стандартният профил ще бъде настроен на 45 дни на 16 февруари 2028 г., както е посочено в по-ранната им пътна карта за срока на валидност на сертификатите.

Let’s Encrypt ще започне да издава 64-дневни сертификати в тестовата си среда (staging) на 14 октомври 2026 г. Администраторите могат да използват тази тестова услуга, за да проверят поведението при подновяване преди промяната в реална среда.

Тестовите сертификати не се ползват с доверие от браузърите и не трябва да заменят сертификатите на реално работещи уебсайтове. При автоматизирани среди ключовата функция е ACME Renewal Information или ARI. ACME е протоколът, използван за автоматично заявяване и подновяване на сертификати.

ARI позволява на Let’s Encrypt да уведоми поддържан клиент кога да извърши подновяване, помагайки му да се настрои към по-кратките срокове, без да разчита на фиксиран календар. Администраторите трябва да проверят документацията на своя клиент, за да потвърдят поддръжката на ARI. Когато ARI не е наличен, Let’s Encrypt препоръчва подновяването да се извършва на около две трети от срока на валидност на сертификата.

За 64-дневен сертификат това означава около 43-тия ден, вместо да се чака до предишната точка за подновяване на 60-ия ден. Сертифициращият орган препоръчва също така да се претърсят cron задачи, скриптове-обвивки (wrapper scripts) и ръководства за процедури (runbooks) за твърдо кодирани стойности като 83, 80 или 60.

Тези числа могат да разкрият правила за подновяване, проектирани около 90-дневните сертификати. Актуализирането на тези правила отсега подготвя системите и за 45-дневния стандарт, планиран за 2028 г.

Заедно с валидността на сертификатите, Let’s Encrypt ще намали повторното използване на авторизация от 30 дни на 10 дни. Това е периодът, през който предишна проверка на контрола върху домейн може да поддържа друга заявка за сертификат, без да се повтаря тази проверка.

Периодът на повторно използване ще спадне до седем часа през 2028 г. От Let’s Encrypt заявяват, че това поддържа предстоящите правила за валидиране и премахва необходимостта от отделни повторни проверки по Certificate Authority Authorization върху по-стари данни за валидиране.

Операторите трябва да тестват целия работен процес за сертификати, включително внедряването и презареждането на услугите, вместо да проверяват само подновяването. Екипите, управляващи множество уебсайтове, трябва също да потвърдят, че подновените сертификати достигат до всеки сървър и че мониторингът проверява сертификата, който действително се предоставя на потребителите след всяко презареждане. Известията за неуспешни подновявания могат да помогнат на екипите да открият проблеми преди изтичането на валидността.

Практическият приоритет е надеждната автоматизация, която поддържа сертификатите актуални при свиващи се прозорци за подновяване.