TLS 证书有效期现已缩短到 200 天，接下来会坏掉什么
2026 年 3 月 15 日，CA/Browser Forum 缩短公共信任证书有效期的第一阶段正式生效。新签发的公共信任 TLS 证书最长有效期现为 200 天，此前是 398 天。 1
这只是第一次缩短。时间表还将在 2027 年 3 月 15 日降到 100 天，2029 年 3 月 15 日降到 47 天。同一份时间表还缩短了域名和 IP 地址验证结果的最长复用期限，申请者必须更频繁地证明自己对域名和 IP 地址的控制权。对 OV 和 EV 证书而言，主体身份信息的复用期限在 2026 年 3 月这一阶段从 825 天降到 398 天。 1
该时间表源自 CA/Browser Forum 的 SC-081 投票，由 Apple 提出，并在论坛流程中由包括 Apple、Google、Mozilla 和 Sectigo 在内的主要生态成员共同推进。 2
吊销从来都不够用
缩短证书有效期首先是一项安全措施，而不是流程上的改动。投票文本说明，CRL 和 OCSP 等现有证书状态机制在互联网规模下存在局限，涉及隐私、性能、时效性和准确性等问题。更短的证书并不能取代吊销，但能缩短一张被攻破或误签的证书在公共互联网上继续可用的时间。 2
运维层面的影响相当可观。从 398 天的最长有效期降到 47 天，意味着同样时间内可能的续期周期大约是原来的 8.5 倍。即便是 2027 年 3 月的 100 天过渡阶段，也已经短到足以压垮任何仍依赖日历提醒、人工工单，或依赖某人在收到到期告警后登录处理的流程。
本季度值得做的四件事
先从清点开始。许多机构并没有一份准确的证书清单，而自动化无法续期一张谁都不知道存在的证书。Certificate Transparency 日志是发现你域名下公开可见证书的实用途径。
接着，把每一个使用 TLS 的服务都自动化。ACME 生态已经让 TLS 证书自动续期成为标准做法，可选工具包括 Let's Encrypt、Certbot、acme.sh、lego 以及 Caddy 内建的证书管理。挑一种方式并把它统一下来。
别忘了那些并非传统网站的系统。邮件服务器、负载均衡器、内部 API、监控平台、VPN 集中器和 IPMI 接口都可能依赖证书，而它们得到的关注通常少于 Web 服务器。
最后，从外部监控证书到期。只对续期任务告警是不够的。续期任务可能成功，而部署、DNS 验证、防火墙规则或服务重载却失败了。请检查互联网上的用户实际收到的那张证书。
托管平台在这里有个问题
当你掌控操作系统时，自动化很简单；当平台把续期过程藏起来时，就困难得多。
许多托管型产品通过控制面板或供应商管理的系统签发证书，对 ACME 钩子或证书部署流程的访问权限有限。在 398 天的窗口下，这还能凑合。到了 100 天，乃至最终的 47 天，客户就越来越依赖供应商的自动化每一次都不出错。
root 权限消除了一项重大依赖
我们提供 root 权限，正是因为在这类运维需求上，掌控权很重要。
我们的 VPS 产品运行在 KVM 虚拟化之上并提供完整 root 权限，VDS 方案则在更大规模上给出同等掌控。你可以安装自己偏好的 ACME 客户端，选择自己的续期计划，并为 nginx、HAProxy、Postfix 或任何需要更新证书的服务编写自己的部署钩子。
由于虚拟机由你掌控，证书的签发与续期并不依赖我们的内部控制面板，也不依赖供应商托管的证书自动化。你的基础设施，你的自动化，你的证书。
这同样涵盖更复杂的场景。你可以通过自己的 DNS 供应商处理 DNS-01 挑战，为多台服务器运行一套集中的证书自动化系统，或把证书分发给并未直接暴露在公共互联网上的内部服务。
如果你在多个位置运行服务，包括地拉那、斯科普里、阿姆斯特丹或都柏林，同一套自动化思路在各地都适用，因为每台服务器都仍然是一套由你掌控的 Linux 系统。
套餐起价 €5/月，我们接受加密货币，且不要求 KYC。开一台，今天就把证书自动化配好。
真正的截止时间是 2027 年 3 月
2027 年 3 月 15 日才是许多机构真正感到压力的时刻。100 天的窗口已经短到让按季度执行的人工流程无法安全地塞进续期周期。
你还有时间准备。配置证书自动化只要几分钟，而一张过期证书造成的混乱远不止如此。
常见问题
SSL 证书现在限制为 200 天了吗？
对于由公共证书颁发机构新签发的公共信任 TLS 证书，是的。私有证书和内部 PKI 系统不受 CA/Browser Forum 规则约束。
这会影响 Let's Encrypt 的证书吗？
这项变更适用于公共信任证书整体。Let's Encrypt 等服务本就使用 ACME 协议，因此已经配置好自动续期的用户，基本上已为更短的有效期做好准备。
私有证书需要遵守 200 天的限制吗？
不需要。CA/Browser Forum 的规则适用于浏览器和操作系统所信任的公共信任证书。私有 PKI 部署可以自行选择证书有效期。
证书降到 47 天时会发生什么？
对大多数面向互联网的服务来说，证书自动化将实际上成为必需品。签发与到期之间的间隔越短，人工续期流程就越冒险。
资料来源
- TLS Certificate Lifetimes Will Officially Reduce to 47 Days，DigiCert
- Ballot SC-081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods，CA/Browser Forum Server Certificate Working Group