Let's Encrypt SSL/TLS证书有效期2027年起缩短至64天

根据Ars Technica于2026年10月8日报道，免费证书颁发机构Let's Encrypt宣布，自2027年2月10日起，所有SSL/TLS证书的有效期将从目前的90天缩短至64天。此举旨在进一步推动自动化续期流程并降低私钥泄露风险，标志着HTTPS证书管理朝着更短生命周期迈出关键一步。

证书有效期缩短的背景与动因

自2016年正式上线以来，Let's Encrypt一直倡导短有效期证书理念。传统证书有效期长达一年至三年，而Let's Encrypt从一开始就设定90天有效期，强制网站管理员实现自动化续期。这一策略大幅加速了全球HTTPS普及，同时有效限制了证书被盗或误发后的危害窗口。据Let's Encrypt官方博客指出，缩短至64天将进一步压缩攻击者利用已泄露证书的时间，并倒逼仍依赖手动或硬编码续期的用户转向ACME协议。Ars Technica的报道强调，这一变化并非突然，而是Let's Encrypt多年路线图的一部分——2028年还计划将默认有效期降至45天。

新政策时间表与测试窗口

Let's Encrypt已于2026年10月14日起开放64天证书的测试，感兴趣的用户可以提前在预生产环境中验证兼容性。正式生效日期为2027年2月10日，届时所有新颁发证书的有效期直接变为64天，现有90天证书不受影响（但到期续期后将自动沿用新规则）。Ars Technica援引Let's Encrypt技术团队表示：“管理员约有四个月窗口期来检查并更新续期脚本，以避免2027年2月后出现意外证书过期。”

授权重用期限同步压缩

除证书有效期外，Let's Encrypt还大幅缩短了域名授权（authorization）的可重用时间。当前的30天重用窗口将率先减至10天，并计划在2028年最终降至7小时。这意味着，依赖缓存授权数据的ACME客户端需要更频繁地与CA交互验证。不过，对于支持最新ACME规范的客户端，这一变化几乎透明。Let's Encrypt在官方文档中解释：“授权重用期缩短有助于消除CAA重新检查的延迟问题，使证书签发更加稳健。”

网站管理员的应对措施

对于运行Let's Encrypt证书的服务器管理员，最关键的步骤是更新续期脚本中硬编码的触发天数。许多旧脚本设置83天、80天或60天作为续期阈值，这些数值是针对90天证书优化的。在新有效期下，管理员应确保续期脚本在证书过期前至少20天（即有效期三分之二处）发起续期。以下列表总结建议：

• 审计所有cron作业和runbook：查找硬编码的“83”“80”“60”等数字，替换为与新有效期匹配的值。
• 确认ACME客户端支持ARI：ACME续期信息（ARI）允许CA主动通知客户端续期时间，减少依赖固定天数。
• 设置过期告警：确保监控系统能在证书即将到期时发送通知。
• 参与测试阶段：在2026年10月14日至2027年2月10日间利用测试环境验证配置。

证书有效期演变时间线

下表概括Let's Encrypt及行业证书有效期的关键节点：

常见问题（FAQ）

Q1: 证书有效期缩短对普通用户浏览网站有何影响？

A1: 对普通用户几乎无直接影响。用户浏览器仍会正常验证证书有效性，只要网站管理员已配置自动化续期，HTTPS连接将继续保持安全。唯一可能受影响的是那些使用过期证书的网站——届时浏览器会弹出安全警告。

Q2: 如果我的续期脚本没有及时更新，会发生什么？

A2: 如果你的脚本仍按90天周期以固定天数（如60天）触发续期，在64天证书下可能会错过续期窗口，导致证书在到期前未被成功续签。2027年2月10日后，未续期的证书将直接过期，网站HTTPS访问中断。务必在截止日前更新脚本或迁移至支持ARI的客户端。

未来展望与总结

Let's Encrypt的持续缩短证书有效期并非终点，而是全球HTTPS安全基础设施不断进化的缩影。随着自动化工具的成熟和ACME协议的广泛支持，更短的生命周期将在提升安全性的同时降低运维负担。网站管理员应抓住2026年10月至2027年2月的测试窗口，全面检查续期流程，为2028年的45天默认有效期提前做好准备。正如Let's Encrypt在公告中所言：“自动化不再是可选项，而是安全运营的基石。”