Let's Encrypt证书有效期将缩至64天

全球最大的免费HTTPS证书颁发机构Let's Encrypt宣布，将从2027年2月10日起，把默认签发的SSL/TLS证书有效期从90天缩短到64天。10月14日起，用户可以先在测试环境（staging）试用64天证书，提前验证自己的续期流程是否扛得住。

除非主动选择更短的45天或6天档位，届时所有订阅者签发或续期的证书都将是64天有效期。Let's Encrypt预计最后一张90天证书将在2027年5月11日到期，转换过程中不会吊销任何有效证书。官方还公布了后续路线：2028年2月起，默认有效期将进一步压缩到45天。

缩短证书有效期的逻辑很直接：一旦私钥被窃或证书被错误签发，有效期越短，留下可乘之机的窗口就越小。回顾历史，Let's Encrypt在2016年上线时坚持90天有效期，正是为了倒逼当时并不存在的续期自动化，客观上推动了HTTPS在全网的普及。此番继续缩短，目的是把用户彻底推向ACME全自动续期。

对管理员来说，真正的门槛在自动化。使用支持ARI（ACME Renewal Information，ACME续期信息）协议的现代客户端可以近乎无感过渡——ARI允许证书机构主动告知客户端何时该续期。但如果续期任务是写死「到期前60天」这类固定时间点的脚本，就需要尽快改造。

官方的自查清单相当具体：在cron任务、包装脚本和运维手册里搜索83、80、60这类常见的硬编码天数，改成按证书生命周期约三分之二的时间点续期；确认ACME客户端支持ARI；为续期失败配置告警；并利用10月中旬开始的测试窗口完成演练。Let's Encrypt已于2025年中停止发送证书到期提醒邮件，站长不能再指望官方兜底。

同步收紧的还有域名验证结果的复用期限：将从30天缩短到10天，2028年进一步降到7小时，以符合行业对验证复用期的更严格要求，同时省去「CAA复查」环节。ACME接口、签发链与速率限制均不受此次调整影响。

编译自 Ars Technica，原标题："Let's Encrypt cuts certificate lifetimes to 64 days starting February 2027"