A Let’s Encrypt, a weboldalak HTTPS-sel való védelmére széles körben használt, ingyenes és nyílt tanúsítványkiadó bejelentette, hogy 2027. február 10-től a TLS-tanúsítványok alapértelmezett érvényességi idejét 90 napról 64 napra csökkenti.

Ettől a dátumtól kezdve minden kiadott vagy megújított tanúsítvány 64 napig lesz érvényes, kivéve, ha a felhasználó kifejezetten az egyik már most is elérhető rövidebb opciót választja: 45 vagy 6 napot.

A már kiadott tanúsítványok a lejáratukig érvényben maradnak. A Let’s Encrypt arra számít, hogy az utolsó 90 napos tanúsítvány 2027. május 11-én jár le. A szervezet azt is megerősítette, hogy az átállás során egyetlen érvényes tanúsítványt sem vonnak vissza.

Az adminisztrátorok felkészítésére a Let’s Encrypt 2026. október 14-én bevezeti a 64 napos tanúsítványokat a staging környezetében, így a felhasználók még az éles átállás előtt tesztelhetik a megújítási folyamataikat.

A lépés egy szélesebb körű törekvés része, amelynek célja a webes biztonság javítása azzal, hogy csökkentik, meddig maradhatnak használhatók a feltört vagy hibásan kiadott tanúsítványok. Röviden: minél rövidebb egy tanúsítvány élettartama, annál kevesebb ideje marad egy támadónak kihasználni egy ellopott privát kulcsot.

A rövidebb érvényesség ugyanakkor azt is jelenti, hogy a tanúsítványokat gyakrabban kell megújítani. Azoknak a rendszergazdáknak, akik már most is automatizált megújító eszközöket használnak, ez alig vagy egyáltalán nem igényel beavatkozást.

Különösen igaz ez azokra a felhasználókra, akiknek az ACME kliensprogramja támogatja az ACME Renewal Info funkciót. Az ARI lehetővé teszi, hogy a tanúsítványkiadó jelezze a klienseknek, mikor érdemes megújítani a tanúsítványt, ahelyett, hogy fix ütemezésre támaszkodnának.

Azoknak az adminisztrátoroknak viszont, akik cron feladatokat vagy fix megújítási intervallumokkal dolgozó scripteket használnak, érdemes átnézniük a konfigurációjukat. A Let’s Encrypt azt javasolja, hogy ne a lejárat előtti fix napok számához kössék a megújítást, hanem akkor ütemezzék, amikor az érvényességi idő körülbelül kétharmada már eltelt.

A szervezet azt ajánlja, hogy ellenőrizzék a scripteket és a konfigurációs fájlokat az olyan beégetett értékek miatt, mint a 83, 80 vagy 60 nap, mert a rövidebb élettartamú tanúsítványokkal ezek már nem feltétlenül működnek megbízhatóan.

Egy másik közelgő változás a domainellenőrzést érinti. A Let’s Encrypt 30 napról 10 napra csökkenti azt az időszakot, ameddig egy korábban elvégzett domain-azonosítást újra fel lehet használni. 2028-ban ez az időablak tovább rövidül, mindössze hét órára.

A cél az, hogy a szervezet igazodjon a közelgő iparági követelményekhez, és egyszerűsítse a korábban ellenőrzött domainek kezelését. A legtöbb felhasználónak nem kell módosítania semmit, hacsak az ACME kliensük nem támaszkodik kifejezetten a korábbi azonosítások újrafelhasználására.

Fontos, hogy az átállás nem érinti a Let’s Encrypt jelenlegi rátakorlátait, ACME végpontjait és a tanúsítványkiadási láncokat.

Hosszabb távon a szervezet újabb csökkentést tervez: 2028-ban már csak 45 nap lesz az alapértelmezett érvényességi idő. A most bejelentett 64 napos korlát így inkább egy köztes lépés, nem pedig a végső cél.

További részletekért olvasd el a Let’s Encrypt hivatalos bejelentését.