Let's Encrypt renderà predefiniti i certificati da 64 giorni dal 10 febbraio 2027

Let's Encrypt prevede di ridurre a 64 giorni la durata predefinita dei propri certificati a partire dal 10 febbraio 2027, secondo un post pubblicato sul suo blog il 7 ottobre 2026. Da quella data ogni certificato emesso o rinnovato sarà valido per 64 giorni, a meno che il sottoscrittore non abbia scelto una delle durate ancora più brevi di 45 o 6 giorni annunciate in precedenza. Let's Encrypt prevede che gli ultimi dei suoi attuali certificati da 90 giorni scadano l'11 maggio 2027 e afferma che, nell'ambito del passaggio, non revocherà i certificati ancora validi.

Per consentire i test, l'ambiente di staging inizierà a emettere certificati da 64 giorni il 14 ottobre 2026, e Let's Encrypt raccomanda di provare la modifica lì prima che arrivi in produzione. Secondo il post, i sottoscrittori i cui rinnovi sono automatizzati tramite un client che supporta ACME Renewal Info (ARI) non dovrebbero dover intervenire, perché ARI consente a Let's Encrypt di segnalare al client quando è il momento del rinnovo; la documentazione del client indica se ARI è supportato. Le configurazioni che rinnovano un numero fisso di giorni prima della scadenza dovrebbero invece essere modificate per rinnovare a circa due terzi della durata del certificato. Let's Encrypt suggerisce di cercare nei cron job, negli script wrapper e nei runbook valori impostati in modo fisso nel codice, come 83, 80 o 60, e afferma che questo adeguamento prepara anche a una durata predefinita di 45 giorni nel 2028.

Separatamente, il periodo in cui le autorizzazioni possono essere riutilizzate scenderà da 30 giorni a 10 giorni, e nel 2028 è previsto che si riduca ulteriormente a sette ore. Let's Encrypt indica due motivi: la conformità a una riduzione dei periodi massimi di riutilizzo della convalida prevista per il 2029 e l'eliminazione di quello che definisce ricontrollo CAA, in base al quale parte della convalida deve essere ripetuta quando i dati di convalida hanno più di 7 ore. Il post afferma che la maggior parte degli utenti non dovrà cambiare nulla, a meno che il proprio client ACME non sia stato progettato specificamente per dipendere dal riutilizzo della convalida.

Secondo Let's Encrypt, i limiti di frequenza, gli endpoint ACME e le sue catene di emissione non sono interessati. L'organizzazione non profit afferma che durate più brevi riducono il rischio di compromissione delle chiavi e di emissione errata, e incoraggia i sottoscrittori a sfruttare la transizione per automatizzare passaggi come il ricaricamento e la distribuzione dei certificati e per configurare avvisi in caso di rinnovi non riusciti. Afferma di aspettarsi che il passaggio avvenga senza intoppi e rimanda chi dovesse incontrare problemi al proprio forum della community e alla documentazione.