[重要提醒] Let’s Encrypt从明年2月起将证书有效期从90天缩短到64天 最终缩短到45天

📝

内容提要

Let’s Encrypt 将于2027年2月10日起把证书有效期从90天缩短至64天，2026年10月14日起可测试新流程，2028年2月进一步缩至45天，行业最终将统一至47天。管理员需完善自动化续期部署，避免人工操作失误导致服务中断。

🔎

延伸解读

证书有效期缩短时间表

Let’s Encrypt 计划分阶段缩短证书有效期：2027年2月10日起从90天缩短至64天，2028年2月16日起进一步缩短至45天。其他CA则将在2029年将有效期缩短至47天。这一调整基于CA/浏览器论坛的行业讨论，旨在推动自动化管理。管理员需关注这些时间节点，提前规划。

测试新流程的窗口期

从2026年10月14日起，Let’s Encrypt 将在测试环境中启用新的证书周期，开发者和网站管理员可以提前测试续期流程。这为管理员提供了约四个月的窗口期来发现并解决自动化申请和部署中的问题，确保在2027年2月10日前完成调整，避免服务中断。

自动化续期配置建议

对于使用ACME客户端的用户，续期时间通常由客户端自动安排，无需手动调整。但若续期脚本按固定天数运行或依赖人工更换，管理员应检查定时任务和部署流程。Let’s Encrypt 建议将续期检查设置在证书有效期的2/3处，例如64天有效期的证书应在第43天开始检查续期。

人工处理证书的风险

许多复杂网络服务无法通过ACME等机制实现自动证书签发和部署，依赖人工申请和更换。随着证书有效期缩短，人工处理频率将增加，失误风险也随之上升。忘记续期或部署错误可能导致服务无法访问，因此管理员应尽快完善自动化流程，以应对未来更短的有效期。

❓

Q&A

Let's Encrypt 证书有效期缩短的具体时间表是什么？

从2027年2月10日起，默认ACME配置文件签发的证书有效期缩短至64天；2028年2月16日起进一步缩短至45天。2026年10月14日起可在测试环境测试新流程。

为什么证书有效期会不断缩短？

这是基于CA/浏览器论坛（尤其是苹果）的讨论和行业要求，旨在逐步缩短证书有效期，最终统一至47天（根证书除外），Let's Encrypt则计划缩短至45天。

管理员应该如何调整自动续期配置？

使用ACME RI的客户端续期时间可由Let's Encrypt通知安排，通常无需手动调整。若续期脚本按固定天数运行或依赖人工，应检查定时任务和部署流程。建议续期时间设置在证书有效期的2/3处，例如64天有效期的证书应在第43天开始检查续期。

如果继续依赖人工更换证书会有什么风险？

证书有效期缩短后，人工处理的频率会提高，如果出现失误忘记续期或部署时出错，就可能导致服务无法访问。

开发者什么时候可以测试新的证书签发流程？

从2026年10月14日起，Let's Encrypt将在测试环境中启用新周期，开发者和网站管理员可以提前测试并检查续期流程是否完善。

其他CA机构计划何时将证书有效期缩短到47天？

根据CA/浏览器论坛的方案，从2027年3月开始公开信任的TLS证书最长有效期为100天，到2029年降低到47天。

🏷️

标签

Let’s Encrypt 自动化续期 证书有效期