Срок жизни TLS-сертификатов теперь 200 дней. Что сломается дальше.

15 марта 2026 года вступил в силу первый этап сокращения срока действия публично доверенных сертификатов, установленного CA/Browser Forum. Максимальный срок действия вновь выпускаемых публично доверенных TLS-сертификатов теперь составляет 200 дней вместо прежних 398. 1

Это лишь первое сокращение. Дальше по графику — 100 дней с 15 марта 2027 года и затем 47 дней с 15 марта 2029 года. Тот же график сокращает и максимальный срок повторного использования результатов проверки доменов и IP-адресов: заявителям придётся чаще подтверждать контроль над ними. Для сертификатов OV и EV повторное использование Subject Identity Information на этапе марта 2026 года сокращается с 825 до 398 дней. 1

График родился из голосования SC-081 в CA/Browser Forum: инициативу внесла Apple, а сам документ прорабатывался в процедуре форума при участии крупных участников экосистемы — Apple, Google, Mozilla и Sectigo. 2

Отзыва всегда было мало

Более короткий срок жизни сертификатов — прежде всего мера безопасности, а не бумажная формальность. В тексте голосования объясняется, что существующие механизмы проверки статуса сертификатов — CRL и OCSP — плохо работают в масштабе интернета: есть вопросы к приватности, производительности, своевременности и точности. Короткие сертификаты не заменяют отзыв, но сокращают время, в течение которого скомпрометированный или ошибочно выпущенный сертификат остаётся пригодным в публичном интернете. 2

Операционные последствия серьёзные. Переход с максимума в 398 дней к 47 дням означает примерно в 8,5 раза больше возможных циклов обновления за тот же период. Даже промежуточный стодневный этап в марте 2027 года достаточно короток, чтобы сломать любой процесс, который всё ещё держится на напоминаниях в календаре, ручных тикетах или на том, что кто-то зайдёт в систему после предупреждения об истечении срока.

Четыре дела на этот квартал

Начните с инвентаризации. У многих организаций нет точного списка всех сертификатов, которыми они управляют, а автоматика не обновит сертификат, о существовании которого никто не знает. Логи Certificate Transparency — удобный способ найти публично видимые сертификаты, выпущенные для ваших доменов.

Затем автоматизируйте каждый сервис, который использует TLS. Экосистема ACME сделала автоматическое обновление TLS-сертификатов нормой: Let's Encrypt, Certbot, acme.sh, lego, встроенное управление сертификатами в Caddy. Выберите один способ и сделайте его стандартом.

Не забудьте про системы, которые не являются обычными сайтами. Почтовые серверы, балансировщики нагрузки, внутренние API, платформы мониторинга, VPN-концентраторы и интерфейсы IPMI тоже зависят от сертификатов, а внимания им достаётся меньше, чем веб-серверам.

Наконец, следите за истечением сертификатов снаружи. Оповещений только по задачам обновления недостаточно. Задача обновления может отработать успешно, а вот выкладка, проверка DNS, правила фаервола или перезагрузка сервиса — провалиться. Проверяйте тот сертификат, который реально получают пользователи из интернета.

У управляемых платформ здесь проблема

Автоматизировать просто, когда операционная система в ваших руках. Сложнее, когда платформа прячет процесс обновления.

Многие продукты управляемого хостинга выпускают сертификаты через панель управления или систему на стороне провайдера, а доступ к ACME-хукам и к процессу выкладки сертификатов ограничен. С окном в 398 дней с этим можно было жить. При 100, а затем и 47 днях клиент всё сильнее зависит от того, чтобы автоматика провайдера срабатывала каждый раз.

Root-доступ снимает главную зависимость

Мы даём root-доступ, потому что контроль важен именно для таких эксплуатационных задач.

Наши VPS работают на виртуализации KVM с полным root-доступом, а тарифы VDS дают тот же уровень контроля в большем масштабе. Вы ставите любой ACME-клиент, выбираете собственное расписание обновления и пишете свои хуки выкладки для nginx, HAProxy, Postfix или любого другого сервиса, которому нужны свежие сертификаты.

Поскольку виртуальной машиной управляете вы, выпуск и обновление сертификатов не зависят ни от нашей панели управления, ни от провайдерской автоматики. Ваша инфраструктура, ваша автоматизация, ваши сертификаты.

Это покрывает и более сложные схемы. Вы можете проходить проверки DNS-01 через своего DNS-провайдера, держать централизованную систему автоматизации сертификатов для нескольких серверов или раздавать сертификаты внутренним сервисам, которые не смотрят напрямую в публичный интернет.

Если ваши сервисы работают сразу в нескольких локациях — в Тиране, Скопье, Амстердаме или Дублине, — один и тот же подход к автоматизации работает везде, потому что каждый сервер остаётся Linux-системой, которой управляете вы.

Тарифы начинаются от 5 €/мес., принимаем криптовалюту, KYC не требуется. Разверните сервер и настройте автоматизацию сертификатов уже сегодня.

Настоящий дедлайн — март 2027 года

15 марта 2027 года последствия почувствуют многие организации. Стодневное окно достаточно короткое, чтобы ежеквартальные ручные процедуры перестали безопасно укладываться в цикл обновления.

Время подготовиться есть. Настройка автоматизации сертификатов занимает минуты — в отличие от неприятностей, которые приносит просроченный сертификат.

Частые вопросы

SSL-сертификаты теперь ограничены 200 днями?

Для вновь выпускаемых публично доверенных TLS-сертификатов от публичных удостоверяющих центров — да. На частные сертификаты и внутренние системы PKI правила CA/Browser Forum не распространяются.

Затрагивает ли это сертификаты Let's Encrypt?

Изменение касается публично доверенных сертификатов в целом. Такие сервисы, как Let's Encrypt, уже работают по протоколу ACME, поэтому те, у кого автоматическое обновление уже настроено, к более коротким срокам в основном готовы.

Должны ли частные сертификаты соблюдать лимит в 200 дней?

Нет. Правила CA/Browser Forum действуют для публично доверенных сертификатов, которым доверяют браузеры и операционные системы. В частной PKI вы сами выбираете срок жизни сертификатов.

Что будет, когда срок станет 47 дней?

Для большинства сервисов, смотрящих в интернет, автоматизация сертификатов станет фактически обязательной. Чем короче промежуток между выпуском и истечением, тем рискованнее ручные процедуры обновления.

Источники

1. TLS Certificate Lifetimes Will Officially Reduce to 47 Days, DigiCert
2. Ballot SC-081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods, CA/Browser Forum Server Certificate Working Group