TLS certifikati sada traju 200 dana. Evo što se sljedeće lomi.
Prvi korak skraćivanja valjanosti javno pouzdanih certifikata, koje je odredio CA/Browser Forum, stupio je na snagu 15. ožujka 2026. Najdulje razdoblje valjanosti novoizdanih javno pouzdanih TLS certifikata sada iznosi 200 dana umjesto dotadašnjih 398. 1
Ovo je tek prvo skraćivanje. Raspored se nastavlja sa 100 dana od 15. ožujka 2027. i zatim 47 dana od 15. ožujka 2029. Isti raspored skraćuje i najdulje razdoblje ponovne uporabe rezultata provjere domena i IP adresa, pa podnositelji zahtjeva moraju češće dokazivati nadzor nad domenama i adresama. Kod OV i EV certifikata ponovna uporaba podataka o identitetu subjekta u koraku iz ožujka 2026. pada s 825 na 398 dana. 1
Raspored je proizašao iz glasovanja SC-081 u CA/Browser Forumu, koje je predložio Apple, a razrađeno je u postupku Foruma uz sudjelovanje velikih članova ekosustava, među njima Applea, Googlea, Mozille i Sectiga. 2
Opoziv nikad nije bio dovoljan
Kraći vijek certifikata prije je svega sigurnosna mjera, a ne administrativna promjena. U tekstu glasovanja objašnjava se da postojeći mehanizmi provjere statusa certifikata, poput CRL-ova i OCSP-a, u razmjerima interneta imaju ograničenja: probleme s privatnošću, performansama, pravovremenošću i točnošću. Kraći certifikati ne zamjenjuju opoziv, ali skraćuju vrijeme u kojem kompromitirani ili pogrešno izdani certifikat može ostati upotrebljiv na javnom internetu. 2
Operativni je učinak znatan. Prelazak s najdulje valjanosti od 398 dana na 47 znači otprilike 8,5 puta više mogućih ciklusa obnove u istom razdoblju. Čak je i međukorak od 100 dana u ožujku 2027. dovoljno kratak da slomi svaki postupak koji još ovisi o podsjetnicima u kalendaru, ručnim tiketima ili o tome da se netko prijavi nakon upozorenja o isteku.
Četiri stvari koje vrijedi obaviti ovo tromjesečje
Počnite od popisa. Mnoge organizacije nemaju točan popis svih certifikata kojima upravljaju, a automatizacija ne može obnoviti certifikat za koji nitko ne zna da postoji. Zapisi Certificate Transparencyja koristan su način da pronađete javno vidljive certifikate izdane za vaše domene.
Zatim automatizirajte svaku uslugu koja koristi TLS. Ekosustav ACME pretvorio je automatsku obnovu TLS certifikata u standard, uz alate poput Let's Encrypta, Certbota, acme.sh, lega i ugrađenog upravljanja certifikatima u Caddyju. Odaberite jedan način i standardizirajte ga.
Ne zaboravite sustave koji nisu klasične web stranice. Poslužitelji e-pošte, balanseri opterećenja, interni API-ji, platforme za nadzor, VPN koncentratori i IPMI sučelja također ovise o certifikatima, a dobivaju manje pažnje od web poslužitelja.
Na kraju, istek certifikata nadzirite izvana. Nije dovoljno dizati uzbunu samo za poslove obnove. Zadatak obnove može uspjeti, a da postavljanje, DNS provjera, pravila vatrozida ili ponovno učitavanje usluge padnu. Provjerite certifikat koji korisnici na internetu stvarno dobivaju.
Upravljane platforme ovdje imaju problem
Automatizirati je jednostavno kad upravljate operativnim sustavom. Postaje teže kad platforma skriva postupak obnove.
Mnogi proizvodi upravljanog hostinga izdaju certifikate preko upravljačke ploče ili sustava kojim upravlja pružatelj, uz ograničen pristup ACME kukicama ili postupku postavljanja certifikata. S prozorom od 398 dana s time se dalo živjeti. Uz 100, a naposljetku i 47 dana, klijenti sve više ovise o tome da automatizacija pružatelja proradi baš svaki put.
Root pristup uklanja veliku ovisnost
Root pristup dajemo zato što je nadzor važan upravo za ovakve operativne zahtjeve.
Naši VPS proizvodi rade na KVM virtualizaciji s punim root pristupom, a VDS paketi daju istu razinu nadzora u većim razmjerima. Možete instalirati ACME klijenta koji želite, odabrati vlastiti raspored obnove i napisati vlastite kukice za postavljanje za nginx, HAProxy, Postfix ili bilo koju drugu uslugu kojoj trebaju svježi certifikati.
Budući da virtualnim strojem upravljate vi, izdavanje i obnova certifikata ne ovise o našoj internoj upravljačkoj ploči ni o automatizaciji certifikata na strani pružatelja. Vaša infrastruktura, vaša automatizacija, vaši certifikati.
To pokriva i naprednije postavke. Izazove DNS-01 možete rješavati preko vlastitog DNS pružatelja, voditi središnji sustav automatizacije certifikata za više poslužitelja ili certifikate dijeliti internim uslugama koje nisu izravno izložene javnom internetu.
Ako usluge držite na više lokacija, uključujući Tiranu, Skoplje, Amsterdam ili Dublin, isti pristup automatizaciji radi svugdje, jer svaki poslužitelj ostaje Linux sustav kojim upravljate vi.
Paketi počinju od 5 €/mj., primamo kriptovalute i ne tražimo KYC. Pokrenite jedan i još danas posložite automatizaciju certifikata.
Pravi je rok ožujak 2027.
Učinak će 15. ožujka 2027. osjetiti mnoge organizacije. Prozor od 100 dana dovoljno je kratak da se tromjesečni ručni postupci više ne uklapaju sigurno u ciklus obnove.
Vremena za pripremu ima. Automatizacija certifikata namjesti se u nekoliko minuta, za razliku od neprilika koje donosi istekli certifikat.
Česta pitanja
Jesu li SSL certifikati sada ograničeni na 200 dana?
Za novoizdane javno pouzdane TLS certifikate javnih certifikacijskih tijela, jesu. Privatni certifikati i interni PKI sustavi nisu pod pravilima CA/Browser Foruma.
Utječe li to na certifikate Let's Encrypta?
Promjena se odnosi na javno pouzdane certifikate općenito. Usluge poput Let's Encrypta već rade preko protokola ACME, pa su korisnici koji imaju namještenu automatsku obnovu uglavnom spremni na kraća razdoblja valjanosti.
Moraju li se privatni certifikati držati granice od 200 dana?
Ne. Pravila CA/Browser Foruma vrijede za javno pouzdane certifikate kojima vjeruju preglednici i operativni sustavi. U privatnom PKI-ju sami birate vijek certifikata.
Što se događa kad certifikati postanu 47-dnevni?
Automatizacija certifikata postaje praktički obavezna za većinu usluga okrenutih internetu. Ručni postupci obnove sve su rizičniji što je razmak između izdavanja i isteka kraći.
Izvori
- TLS Certificate Lifetimes Will Officially Reduce to 47 Days, DigiCert
- Ballot SC-081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods, CA/Browser Forum Server Certificate Working Group