Certifikatat TLS tani zgjasin 200 ditë. Ja çfarë prishet më pas.
Më 15 mars 2026 hyri në fuqi hapi i parë i shkurtimit të vlefshmërisë së certifikatave publikisht të besuara nga CA/Browser Forum. Periudha maksimale e vlefshmërisë për certifikatat TLS publikisht të besuara të lëshuara rishtazi tani është 200 ditë, nga kufiri i mëparshëm prej 398 ditësh. 1
Ky është vetëm shkurtimi i parë. Kalendari vazhdon me 100 ditë më 15 mars 2027 dhe më pas me 47 ditë më 15 mars 2029. I njëjti afat shkurton edhe periudhën maksimale të ripërdorimit të rezultateve të validimit të domeneve dhe adresave IP, duke i detyruar aplikuesit ta provojnë më shpesh kontrollin mbi domenet dhe adresat IP. Për certifikatat OV dhe EV, ripërdorimi i Subject Identity Information ulet nga 825 ditë në 398 ditë gjatë hapit të marsit 2026. 1
Kalendari doli nga votimi SC-081 i CA/Browser Forum, i propozuar nga Apple dhe i zhvilluar përmes procesit të CA/Browser Forum me pjesëmarrjen e anëtarëve kryesorë të ekosistemit, përfshirë Apple, Google, Mozilla dhe Sectigo. 2
Revokimi nuk mjaftoi kurrë
Jetëgjatësitë më të shkurtra të certifikatave janë para së gjithash masë sigurie, e jo ndryshim procedurash. Teksti i votimit shpjegon se mekanizmat ekzistues të statusit të certifikatave, si CRL-të dhe OCSP-ja, kanë kufizime në shkallën e internetit, përfshirë shqetësime për privatësinë, performancën, afatshmërinë dhe saktësinë. Certifikatat më të shkurtra nuk e zëvendësojnë revokimin, por e ulin kohën gjatë së cilës një certifikatë e komprometuar ose e lëshuar gabimisht mund të mbetet e përdorshme në internetin publik. 2
Ndikimi operacional është i ndjeshëm. Kalimi nga një periudhë maksimale vlefshmërie prej 398 ditësh në 47 ditë do të thotë rreth 8,5 herë më shumë cikle të mundshme rinovimi në të njëjtën periudhë. Edhe faza e ndërmjetme prej 100 ditësh në mars 2027 është aq e shkurtër sa prish çdo proces që ende varet nga kujtesat e kalendarit, nga tiketat manuale ose nga dikush që hyn në sistem pas një paralajmërimi skadimi.
Katër gjëra që ia vlen të bëhen këtë tremujor
Nisni nga inventari. Shumë organizata nuk kanë një listë të saktë të çdo certifikate që mbajnë, dhe automatizimi nuk mund të rinovojë certifikata për të cilat askush nuk e di se ekzistojnë. Regjistrat e Certificate Transparency janë një mënyrë e dobishme për të zbuluar certifikatat publikisht të dukshme të lëshuara për domenet tuaja.
Pastaj automatizoni çdo shërbim që përdor TLS. Ekosistemi ACME e ka bërë standard rinovimin e automatizuar të certifikatave TLS, me mjete si Let's Encrypt, Certbot, acme.sh, lego dhe menaxhimi i integruar i certifikatave te Caddy. Zgjidhni një metodë dhe standardizojeni.
Mos harroni sistemet që nuk janë faqe interneti klasike. Serverët e postës, balancuesit e ngarkesës, API-të e brendshme, platformat e monitorimit, koncentruesit VPN dhe ndërfaqet IPMI mund të varen të gjitha nga certifikatat dhe shpesh marrin më pak vëmendje se serverët e uebit.
Së fundi, monitoroni skadimin e certifikatave nga jashtë. Nuk mjafton të lajmëroheni vetëm për punët e rinovimit. Një detyrë rinovimi mund të përfundojë me sukses, ndërkohë që vendosja, validimi DNS, rregullat e murit të zjarrit ose rindezja e shërbimit dështojnë. Kontrolloni certifikatën që marrin në të vërtetë përdoruesit në internet.
Platformat e menaxhuara e kanë një problem këtu
Automatizimi është i thjeshtë kur e kontrolloni sistemin operativ. Bëhet më i vështirë kur platforma e fsheh procesin e rinovimit.
Shumë produkte hostingu të menaxhuar i lëshojnë certifikatat përmes një paneli kontrolli ose një sistemi të menaxhuar nga ofruesi, me akses të kufizuar te hook-et ACME apo te rrjedhat e vendosjes së certifikatave. Kjo ishte e përballueshme me një dritare certifikate prej 398 ditësh. Me 100 dhe përfundimisht 47 ditë, klientët bëhen gjithnjë e më të varur nga fakti që automatizimi i ofruesit të funksionojë çdo herë.
Aksesi si root heq një varësi të madhe
Ne japim akses si root, sepse kontrolli ka rëndësi pikërisht për kërkesa të tilla operacionale.
Produktet tona VPS punojnë me virtualizim KVM dhe akses të plotë si root, ndërsa planet tona VDS japin të njëjtin nivel kontrolli në shkallë më të madhe. Mund të instaloni klientin ACME që parapëlqeni, të zgjidhni kalendarin tuaj të rinovimit dhe të krijoni hook-et tuaja të vendosjes për nginx, HAProxy, Postfix ose çdo shërbim tjetër që ka nevojë për përditësim certifikatash.
Meqenëse ju e kontrolloni makinën virtuale, lëshimi dhe rinovimi i certifikatave nuk varen nga paneli ynë i brendshëm i kontrollit apo nga automatizimi i certifikatave i menaxhuar nga ofruesi. Infrastruktura juaj, automatizimi juaj, certifikatat tuaja.
Kjo mbulon edhe skema më të avancuara. Mund t'i menaxhoni sfidat DNS-01 përmes ofruesit tuaj të DNS-së, të mbani një sistem qendror automatizimi certifikatash për disa serverë, ose t'ua shpërndani certifikatat shërbimeve të brendshme që nuk janë drejtpërdrejt të ekspozuara në internetin publik.
Nëse mbani shërbime në disa vendndodhje, përfshirë Tiranën, Shkupin, Amsterdamin ose Dublinin, e njëjta qasje automatizimi funksionon kudo, sepse çdo server mbetet një sistem Linux që e kontrolloni ju.
Planet nisin nga 5 €/muaj, pranojmë kripto dhe nuk ka kërkesë për KYC. Nisni një dhe konfiguroni sot automatizimin e certifikatave tuaja.
Marsi 2027 është afati i vërtetë
Më 15 mars 2027 do ta ndiejnë ndikimin shumë organizata. Një dritare certifikate prej 100 ditësh është aq e shkurtër sa proceset manuale tremujore nuk futen më me siguri brenda ciklit të rinovimit.
Keni kohë të përgatiteni. Automatizimi i certifikatave kërkon pak minuta konfigurim, krahasuar me prishjen që shkakton një certifikatë e skaduar.
Pyetje të bëra shpesh
A kufizohen tani certifikatat SSL në 200 ditë?
Për certifikatat TLS publikisht të besuara të lëshuara rishtazi nga autoritete publike certifikimi, po. Certifikatat private dhe sistemet e brendshme PKI nuk rregullohen nga rregullat e CA/Browser Forum.
A i prek kjo certifikatat e Let's Encrypt?
Ndryshimi zbatohet për certifikatat publikisht të besuara në përgjithësi. Shërbime si Let's Encrypt e përdorin tashmë protokollin ACME, prandaj përdoruesit që kanë konfiguruar rinovimin automatik janë kryesisht të përgatitur për periudha më të shkurtra vlefshmërie.
A duhet t'i binden certifikatat private kufirit prej 200 ditësh?
Jo. Rregullat e CA/Browser Forum zbatohen për certifikatat publikisht të besuara që përdoren nga shfletuesit dhe sistemet operative. Vendosjet private PKI mund të zgjedhin vetë jetëgjatësinë e certifikatave të tyre.
Çfarë ndodh kur certifikatat bëhen 47 ditë?
Automatizimi i certifikatave bëhet praktikisht i detyrueshëm për shumicën e shërbimeve të ekspozuara në internet. Proceset manuale të rinovimit bëhen gjithnjë e më të rrezikshme sa më shumë shkurtohet koha mes lëshimit dhe skadimit.
Burimet
- TLS Certificate Lifetimes Will Officially Reduce to 47 Days, DigiCert
- Ballot SC-081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods, CA/Browser Forum Server Certificate Working Group