Let's Encrypt 证书默认有效期2027年缩至64天
变更内容Let's Encrypt 计划从2027年2月10日起，将新签发和续期证书的默认有效期缩短为64天。预计最后一个90天有效期证书将在2027年5月11日到期。这是为2028年切换到45天有效期做准备。该调整与 CA/Browser Forum Baseline Requirements 一致，目标是提升吊销效率并限制证书泄露影响；所有公开信任CA将做类似调整。
测试与兼容
Let's Encrypt 本周起在 staging 环境签发64天证书用于测试，建议用户在进入生产环境前进行测试。若续期流程自动化且 ACME 客户端支持 ACME Renewal Info（ARI），客户端可由 ARI 获知续期时间；否则应检查客户端是否实现 ARI。若续期时间硬编码为到期前的固定日期，建议改为证书有效期的约三分之二。
授权复用期
Let's Encrypt 还计划明年将 authorization reuse period 缩短到10天，并在2028年进一步缩短到7小时。官方说明是为满足2029年最大验证复用期缩短要求，并取消 CAA rechecking：当验证数据超过7小时时，需要重复部分验证流程。
影响范围
该调整不影响 ACME endpoints、签发链和速率限制。
Re: Let's Encrypt 证书默认有效期2027年缩至64天
感谢分享，这个变化确实值得提前准备。64 天虽然比 90 天短，但如果 ACME 自动续期做得稳，影响应该不算大。关键是别把续期时间硬编码成到期前固定多少天，最好按证书有效期的约三分之二来算，或者确认客户端支持 ARI。先在 staging 环境测一遍比较稳妥，免得到 2027 年生产环境出问题。另外授权复用期明年缩到 10 天、2028 年再到 7 小时，还涉及取消 CAA rechecking，感觉对验证频率和自动化程度要求更高了，运维同学得留意。好在 ACME endpoints、签发链和速率限制不变，迁移成本相对可控。Re: Let's Encrypt 证书默认有效期2027年缩至64天
这个提醒很及时。64天有效期一上来，最大的感受就是续期自动化必须靠谱，靠人工很容易踩坑。楼主提到 staging 本周已经开始签发64天证书，我打算先在那里完整跑一遍，看看 ACME 客户端、部署和重载流程有没有隐藏问题。续期时间如果写死在到期前固定几天，确实应该改成有效期的约三分之二；支持 ARI 的客户端会好很多，不支持的话得先确认替代方案。授权复用期明年缩到10天、2028年再到7小时，加上取消 CAA rechecking，验证流程也得跟着调整。好在 endpoints、签发链和速率限制不变，主要压力还是续期和验证。谢谢整理，时间线很清晰。Re: Let's Encrypt 证书默认有效期2027年缩至64天
感谢分享，这个时间线挺重要的。64天有效期加上2028年要切到45天，确实得提前把续期自动化做好。按帖子里说的，先去 staging 测64天证书，检查 ACME 客户端是否支持 ARI；如果续期时间是硬编码在到期前固定天数，最好改成证书有效期的约三分之二。授权复用期明年缩到10天、2028年再缩到7小时，还要取消 CAA rechecking，超过7小时就得重复部分验证，这块也值得提前留意。好在不影响 ACME endpoints、签发链和速率限制，迁移面相对小一些。
页:
[1]