Berapa lamakah sijil SSL sah sekarang, dan bagaimanakah ia akan berubah?

Tempoh sah maksimum sijil SSL kini 200 hari, turun daripada 398 hari yang terpakai sehingga 15 Mac 2026. Pada 15 Mac 2027 ia turun kepada 100 hari, dan pada 15 Mac 2029 kepada 47 hari, di bawah Baseline Requirements yang ditetapkan oleh CA/Browser Forum bagi setiap pihak berkuasa sijil di dunia. Let's Encrypt, pengeluar sijil percuma terbesar, mengumumkan pada 7 Oktober 2026 bahawa sijilnya akan turun daripada 90 hari kepada 64 hari mulai 10 Februari 2027. Secara praktikal, sijil yang dahulunya diperbaharui oleh syarikat anda sekali setahun kini perlu diperbaharui sekurang-kurangnya dua kali, kemudian empat kali, dan seterusnya kira-kira lapan kali. Jika pembaharuan kekal sebagai tugas yang perlu diingati oleh seseorang, suatu hari nanti seorang pelanggan akan membuka laman web anda dan melihat amaran bahawa sambungan itu tidak selamat.

Jadual masa: daripada 398 hari kepada 47

Sijil dikeluarkanTempoh sah maksimumPenggunaan semula maksimum pengesahan domain
Sebelum 15 Mac 2026398 hari398 hari
Mulai 15 Mac 2026200 hari200 hari
Mulai 15 Mac 2027100 hari100 hari
Mulai 15 Mac 202947 hari10 hari

Lajur terakhir lebih penting daripada yang disangka. Pengesahan domain ialah langkah di mana anda membuktikan kepada pihak berkuasa sijil bahawa anda mengawal domain anda, dengan menambah rekod DNS atau meletakkan fail pada pelayan anda. Hari ini satu pengesahan boleh digunakan semula selama 200 hari; mulai Mac 2029 ia hanya sah selama 10 hari, jadi hampir setiap pembaharuan akan memerlukan pengesahan baharu. Forum menerima pakai jadual ini pada 11 April 2025, dengan 25 pihak berkuasa sijil mengundi menyokong dan tiada yang membantah, serta keempat-empat pembuat pelayar yang mempunyai hak mengundi turut menyokong. Ini bukan cadangan yang mungkin tertangguh. Ini ialah peraturan yang dipatuhi oleh setiap pihak berkuasa sijil supaya sijilnya terus dipercayai oleh pelayar.

Apakah yang berubah bagi sijil percuma Let's Encrypt?

Banyak laman web kecil dan sederhana menggunakan sijil percuma Let's Encrypt, selalunya tanpa pengetahuan pemiliknya. Menurut pengumuman rasmi dan jadual yang diterbitkannya:

  • 14 Oktober 2026: persekitaran staging mula mengeluarkan sijil 64 hari, supaya anda boleh menguji sistem anda sebelum tarikh sebenar.
  • 10 Februari 2027: setiap sijil yang dikeluarkan atau diperbaharui mulai tarikh ini sah selama 64 hari, dan tempoh penggunaan semula kebenaran turun daripada 30 hari kepada 10 hari.
  • 16 Februari 2028: tempoh sah turun kepada 45 hari, dan satu pengesahan hanya sah selama 7 jam.

Let's Encrypt memberi amaran tentang satu kesilapan biasa: skrip dan tugas berjadual yang ditulis berdasarkan sijil 90 hari, dengan titik pembaharuan tetap seperti 83, 80 atau 60 hari. Semua itu perlu diubah. Cadangannya ialah memperbaharui pada kira-kira dua pertiga jangka hayat sijil, iaitu lebih kurang hari ke-42 daripada 64. Jika klien pembaharuan anda menyokong ACME Renewal Information (ARI), tiada perubahan diperlukan, kerana pihak berkuasa sijil itu sendiri yang memberitahu klien bila perlu memperbaharui.

Satu lagi perincian: Let's Encrypt berhenti menghantar e-mel peringatan tamat tempoh pada 4 Jun 2025. Jika anda menunggu e-mel untuk mengingatkan anda supaya memperbaharui, e-mel itu tidak akan tiba.

Apakah yang berlaku kepada perniagaan anda pada hari sijil tamat tempoh?

  • Laman web dan kedai dalam talian: pelayar memaparkan amaran satu halaman penuh menggantikan laman anda, yang menyatakan bahawa sambungan itu tidak peribadi. Kebanyakan pelawat menutup halaman itu dan tidak kembali, dan mereka yang meneruskan berbuat demikian dengan rasa bimbang untuk memasukkan butiran kad.
  • Aplikasi mudah alih: aplikasi berhubung dengan pelayan anda melalui sambungan yang disulitkan dan enggan bersambung sebaik sahaja sijil pelayan tamat tempoh. Pengguna melihat ralat umum atau skrin kosong tanpa mengetahui sebabnya.
  • Integrasi dengan sistem lain: pemberitahuan pembayaran, integrasi penghantaran dan sistem perakaunan semuanya berjalan melalui pautan yang disulitkan. Sijil yang tamat tempoh menghentikannya secara senyap, dan anda mungkin hanya mengetahuinya apabila pelanggan yang sudah membayar mengadu bahawa pesanannya tidak pernah disahkan.
  • E-mel dan papan pemuka dalaman: pelayan e-mel, panel pentadbir dan alat kakitangan juga mempunyai sijil, dan biasanya paling kerap dilupakan kerana tiada sesiapa yang melihatnya setiap hari.

Anda membeli sijil berbayar untuk setahun penuh. Apakah yang berubah?

Membeli tidak lagi sama dengan memasang. Hari ini tiada pihak berkuasa sijil yang boleh mengeluarkan sijil yang sah lebih daripada 200 hari, jadi mereka terus menjual langganan tahunan dan mengeluarkan semula sijil dalam tempoh itu. SSL.com, sebagai contoh, menyatakan bahawa pembelian anda masih merupakan lesen 12 bulan, bahawa ia kini mengeluarkan sijil yang sah selama 198 hari, dan bahawa pengeluaran semula dalam tempoh langganan anda tidak dikenakan caj tambahan. Tetapi setiap pengeluaran semula bermakna pengesahan domain baharu dan pemasangan baharu pada pelayan. Mulai Mac 2027 perkara itu berlaku sekurang-kurangnya 4 kali setahun, dan mulai Mac 2029 kira-kira 8 kali. Persoalannya bukan lagi berapa harga sijil itu. Persoalannya ialah siapa yang memasangnya, berapa kerap, dan siapa yang bertanggungjawab apabila ia terlupa.

Pelan lima langkah untuk syarikat anda

  1. Senaraikan setiap sijil: laman web, kedai dalam talian, pelayan aplikasi mudah alih, e-mel, panel pentadbir dan setiap subdomain. Rekodkan pengeluar, tarikh tamat tempoh dan orang yang bertanggungjawab bagi setiap satu.
  2. Automatikkan pembaharuan: dengan klien pembaharuan pada pelayan, atau dengan sijil yang diurus dan diperbaharui secara automatik oleh penyedia awan atau rangkaian penghantaran kandungan anda. Jika kedai anda berjalan di atas platform yang dihoskan, tanya platform itu secara bertulis: adakah ia memperbaharui sijil dengan sendirinya, dan siapa yang membuat susulan jika pembaharuan gagal?
  3. Pantau tarikh tamat tempoh dengan alat bebas: jangan anggap automasi itu pasti berfungsi. Perkhidmatan pemantauan memberi amaran kepada anda beberapa hari sebelum tamat tempoh, dan apabila menamatkan e-mel peringatannya, Let's Encrypt mencadangkan perkhidmatan pemantauan percuma yang meliputi sehingga 250 sijil.
  4. Semak skrip lama: cari nombor tetap yang dibina berdasarkan sijil 90 hari, dan uji pembaharuan pada persekitaran staging, yang mula mengeluarkan sijil 64 hari pada 14 Oktober.
  5. Namakan pihak yang bertanggungjawab dalam kontrak: tambah klausa yang jelas dalam kontrak hosting atau penyelenggaraan anda bahawa pembaharuan dan pemantauan sijil adalah tanggungjawab penyedia, dengan masa tindak balas yang ditetapkan jika sesuatu sijil tamat tempoh.

Bagaimana Origami membantu

Dalam laman web dan aplikasi yang kami bina di Origami, pembaharuan sijil diautomatikkan sejak hari pertama, dan pemantauan bebas memberi amaran kepada kami sebelum apa-apa tamat tempoh, jadi tiada apa yang bergantung pada ingatan sesiapa. Jika anda sudah mempunyai laman web atau sistem, kami menyenaraikan sijilnya dan memindahkannya kepada pembaharuan automatik sebagai sebahagian daripada perkhidmatan penyelenggaraan selepas pelancaran yang kami terangkan dalam artikel kami tentang penyelenggaraan dan sokongan selepas pelancaran. Lihat juga asas keselamatan siber untuk perniagaan kecil dan sederhana.

Sumber