Let's Encrypt maakt certificaten van 64 dagen standaard vanaf 10 februari 2027

Let's Encrypt is van plan de standaardgeldigheidsduur van zijn certificaten vanaf 10 februari 2027 terug te brengen naar 64 dagen, volgens een bericht op zijn blog van 7 oktober 2026. Vanaf die datum is elk certificaat dat het uitgeeft of verlengt 64 dagen geldig, tenzij de abonnee heeft gekozen voor een van de eerder aangekondigde, nog kortere geldigheidsduren van 45 of 6 dagen. Let's Encrypt verwacht dat de laatste van zijn huidige certificaten van 90 dagen op 11 mei 2027 verlopen en zegt dat het in het kader van de overstap geen certificaten intrekt die nog geldig zijn.

Om testen mogelijk te maken, begint de stagingomgeving op 14 oktober 2026 met het uitgeven van certificaten van 64 dagen, en Let's Encrypt raadt aan de wijziging daar uit te proberen voordat die in productie komt. Volgens het bericht zouden abonnees van wie de verlengingen zijn geautomatiseerd via een client die ACME Renewal Info (ARI) ondersteunt, niets hoeven te doen, omdat Let's Encrypt via ARI aan de client kan doorgeven wanneer een verlenging nodig is; in de documentatie van de client staat of ARI wordt ondersteund. Configuraties die een vast aantal dagen voor het verlopen verlengen, moeten in plaats daarvan zo worden aangepast dat ze verlengen bij ongeveer twee derde van de geldigheidsduur van een certificaat. Let's Encrypt stelt voor cronjobs, wrapperscripts en runbooks te doorzoeken op hardgecodeerde waarden zoals 83, 80 of 60, en zegt dat deze aanpassing ook voorbereidt op een standaardgeldigheidsduur van 45 dagen in 2028.

Daarnaast daalt de periode waarin autorisaties kunnen worden hergebruikt van 30 dagen naar 10 dagen, en in 2028 staat een verdere verkorting tot zeven uur gepland. Let's Encrypt noemt twee redenen: naleving van een verkorting van de maximale hergebruikperiodes voor validatie die in 2029 ingaat, en het afschaffen van wat het CAA-hercontrole noemt, waarbij een deel van de validatie moet worden herhaald zodra de validatiegegevens ouder zijn dan 7 uur. Volgens het bericht hoeven de meeste gebruikers niets te veranderen, tenzij hun ACME-client specifiek zo is gebouwd dat hij afhankelijk is van hergebruik van validaties.

Volgens Let's Encrypt heeft de wijziging geen gevolgen voor de rate limits, de ACME-endpoints en zijn uitgifteketens. De non-profitorganisatie zegt dat kortere geldigheidsduren het risico op sleutelcompromittering en onterechte uitgifte verkleinen, en moedigt abonnees aan de overgang te gebruiken om stappen zoals het herladen en uitrollen van certificaten te automatiseren en waarschuwingen in te stellen voor mislukte verlengingen. Het zegt te verwachten dat de overstap soepel verloopt en verwijst iedereen die tegen problemen aanloopt naar zijn communityforum en documentatie.