Let's Encrypt macht ab 10. Februar 2027 Zertifikate mit 64 Tagen Laufzeit zum Standard

Let's Encrypt plant, die Standardlaufzeit seiner Zertifikate ab dem 10. Februar 2027 auf 64 Tage zu verkürzen, wie aus einem Beitrag in seinem Blog vom 7. Oktober 2026 hervorgeht. Ab diesem Datum ist jedes Zertifikat, das Let's Encrypt ausstellt oder erneuert, 64 Tage gültig, sofern der Abonnent nicht eine der bereits zuvor angekündigten noch kürzeren Laufzeiten von 45 oder 6 Tagen gewählt hat. Let's Encrypt erwartet, dass die letzten seiner derzeitigen 90-Tage-Zertifikate am 11. Mai 2027 ablaufen, und erklärt, im Zuge der Umstellung keine noch gültigen Zertifikate zu widerrufen.

Um Tests zu ermöglichen, wird die Staging-Umgebung ab dem 14. Oktober 2026 Zertifikate mit 64 Tagen Laufzeit ausstellen, und Let's Encrypt empfiehlt, die Änderung dort auszuprobieren, bevor sie die Produktivumgebung erreicht. Laut dem Beitrag sollten Abonnenten, deren Erneuerungen über einen Client mit Unterstützung für ACME Renewal Info (ARI) automatisiert sind, nichts unternehmen müssen, da Let's Encrypt dem Client über ARI signalisieren kann, wann eine Erneuerung fällig ist; ob ARI unterstützt wird, geht aus der Dokumentation des Clients hervor. Konfigurationen, die eine feste Anzahl von Tagen vor Ablauf erneuern, sollten stattdessen so geändert werden, dass sie nach etwa zwei Dritteln der Laufzeit eines Zertifikats erneuern. Let's Encrypt schlägt vor, Cronjobs, Wrapper-Skripte und Runbooks nach fest codierten Werten wie 83, 80 oder 60 zu durchsuchen, und erklärt, dass diese Anpassung auch auf eine Standardlaufzeit von 45 Tagen im Jahr 2028 vorbereitet.

Unabhängig davon sinkt der Zeitraum, in dem Autorisierungen wiederverwendet werden können, von 30 Tagen auf 10 Tage; 2028 soll er weiter auf sieben Stunden schrumpfen. Let's Encrypt nennt dafür zwei Gründe: die Einhaltung einer für 2029 vorgesehenen Verkürzung der maximalen Zeiträume für die Wiederverwendung von Validierungen sowie die Abschaffung dessen, was die Organisation als erneute CAA-Prüfung bezeichnet, bei der ein Teil der Validierung wiederholt werden muss, sobald die Validierungsdaten älter als 7 Stunden sind. Laut dem Beitrag werden die meisten Nutzer nichts ändern müssen, es sei denn, ihr ACME-Client wurde gezielt so entwickelt, dass er von der Wiederverwendung von Validierungen abhängt.

Laut Let's Encrypt sind Ratenbegrenzungen, ACME-Endpunkte und seine Ausstellungsketten nicht betroffen. Die gemeinnützige Organisation erklärt, kürzere Laufzeiten verringerten das Risiko einer Schlüsselkompromittierung und von Fehlausstellungen, und ermutigt Abonnenten, die Umstellung zu nutzen, um Schritte wie das Neuladen und Bereitstellen von Zertifikaten zu automatisieren und Warnmeldungen für fehlgeschlagene Erneuerungen einzurichten. Nach eigenen Angaben erwartet sie einen reibungslosen Übergang und verweist alle, die auf Probleme stoßen, auf ihr Community-Forum und ihre Dokumentation.