SSL证书现在的有效期是多久，未来会如何变化？

SSL证书的最长有效期现为200天，而在2026年3月15日之前为398天。根据CA/Browser Forum为全球所有证书颁发机构制定的Baseline Requirements，2027年3月15日起将缩短至100天，2029年3月15日起缩短至47天。全球最大的免费证书签发机构Let's Encrypt于2026年10月7日宣布，自2027年2月10日起，其证书有效期将从90天缩短至64天。实际上，贵公司过去每年续期一次的证书，现在每年至少需要续期两次，之后是四次，再之后大约八次。如果续期仍然是需要有人记住的任务，总有一天客户打开您的网站时，会看到“连接不安全”的警告。

时间表：从398天到47天

证书签发时间最长有效期域名验证的最长复用期
2026年3月15日之前398天398天
自2026年3月15日起200天200天
自2027年3月15日起100天100天
自2029年3月15日起47天10天

最后一列比看上去更重要。域名验证是您向证书颁发机构证明自己控制该域名的步骤，方式是添加一条DNS记录，或在服务器上放置一个文件。目前一次验证可以复用200天；从2029年3月起只能使用10天，因此几乎每次续期都需要重新验证。Forum于2025年4月11日通过了这一时间表，25家证书颁发机构投了赞成票，没有反对票，四家有投票权的浏览器厂商全部赞成。这不是一个可能推迟的提案，而是每个证书颁发机构为了让浏览器继续信任其证书而必须遵守的规则。

免费的Let's Encrypt证书有哪些变化？

许多中小型网站使用的是免费的Let's Encrypt证书，而网站所有者往往并不知情。根据其官方公告和公布的时间表：

  • 2026年10月14日：测试环境（staging）开始签发64天证书，方便您在正式日期之前测试自己的系统。
  • 2027年2月10日：自该日起签发或续期的每张证书有效期为64天，授权复用期从30天缩短至10天。
  • 2028年2月16日：有效期缩短至45天，一次验证仅在7小时内有效。

Let's Encrypt提醒注意一个常见错误：围绕90天证书编写的脚本和定时任务，设有固定的续期节点，例如83天、80天或60天。这些都需要修改。建议在证书生命周期约三分之二时续期，也就是64天中的第42天左右。如果您的续期客户端支持ACME Renewal Information（ARI），则无需任何修改，因为证书颁发机构会亲自告诉客户端何时续期。

还有一个细节：Let's Encrypt已于2025年6月4日停止发送到期提醒邮件。如果您一直在等邮件提醒您续期，它不会再来了。

证书到期那天，您的业务会发生什么？

  • 网站和网店：浏览器会显示整页警告，而不是您的网站，提示连接不是私密连接。大多数访客会关闭页面且不再回来，继续访问的人在输入银行卡信息时也会心存顾虑。
  • 移动应用：应用通过加密连接与您的服务器通信，一旦服务器证书到期就会拒绝连接。用户看到的是一个笼统的错误提示或一片空白的屏幕，完全不知道原因。
  • 与其他系统的集成：支付通知、物流集成和会计系统都通过加密链路运行。过期的证书会让它们悄无声息地停止工作，您可能要等到已付款的客户投诉订单一直未被确认时才发现。
  • 电子邮件和内部管理后台：邮件服务器、管理面板和员工工具同样有证书，而且它们通常最容易被遗忘，因为没有人每天去查看。

您购买了整整一年的付费证书，有什么变化？

购买不再等于安装。如今没有任何证书颁发机构能为您签发有效期超过200天的证书，因此它们继续出售年度订阅，并在订阅期内重新签发证书。例如，SSL.com表示，您购买的仍然是12个月的许可，它现在签发有效期为198天的证书，并且在您的订阅期内重新签发不收取额外费用。但每次重新签发都意味着一次新的域名验证和一次新的服务器安装。从2027年3月起，这一过程每年至少发生4次，从2029年3月起大约8次。问题已不再是证书多少钱，而是谁来安装、多久安装一次，以及被遗忘时由谁负责。

为贵公司制定的五步计划

  1. 盘点所有证书：网站、网店、移动应用服务器、电子邮件、管理面板以及每个子域名。逐一记录签发机构、到期日期和负责人。
  2. 实现续期自动化：在服务器上使用续期客户端，或使用由云服务商或内容分发网络自动管理和续期的证书。如果您的网店运行在托管平台上，请以书面形式询问平台：它是否会自动续期证书？续期失败时由谁跟进？
  3. 用独立工具监控到期：不要假定自动化一定有效。监控服务会在到期前数天向您发出提醒；Let's Encrypt在停止发送提醒邮件时，推荐了一个最多可覆盖250张证书的免费监控服务。
  4. 检查旧脚本：查找围绕90天证书设定的固定数字，并在测试环境中测试续期，该环境将于10月14日开始签发64天证书。
  5. 在合同中明确责任人：在主机托管或维护合同中加入明确条款，规定证书续期和监控由服务商负责，并约定证书到期时的响应时限。

Origami如何提供帮助

在Origami开发的网站和应用中，证书续期从第一天起就实现了自动化，独立监控会在任何证书到期前提醒我们，因此一切都不依赖于某个人的记忆。如果您已经拥有网站或系统，我们会盘点其证书，并将其迁移到自动续期，这是我们在关于上线后维护与支持的文章中介绍的上线后维护服务的一部分。另请参阅中小企业网络安全要点。

资料来源