Let's Encrypt od 10 lutego 2027 r. wprowadzi domyślnie certyfikaty 64-dniowe

Let's Encrypt planuje skrócić domyślny okres ważności swoich certyfikatów do 64 dni od 10 lutego 2027 r. – wynika z wpisu na jego blogu z 7 października 2026 r. Od tego dnia każdy wystawiony lub odnowiony przez niego certyfikat będzie ważny przez 64 dni, chyba że subskrybent wybrał jeden z zapowiedzianych wcześniej, jeszcze krótszych okresów ważności: 45 lub 6 dni. Let's Encrypt spodziewa się, że ostatnie z obecnych certyfikatów 90-dniowych wygasną 11 maja 2027 r., i zapowiada, że w ramach tej zmiany nie będzie unieważniać certyfikatów, które są nadal ważne.

Aby umożliwić testy, środowisko testowe (staging) zacznie wystawiać certyfikaty 64-dniowe 14 października 2026 r., a Let's Encrypt zaleca wypróbowanie zmiany właśnie tam, zanim trafi ona do środowiska produkcyjnego. Według wpisu subskrybenci, którzy odnawiają certyfikaty automatycznie za pomocą klienta obsługującego ACME Renewal Info (ARI), nie powinni musieć nic robić, ponieważ ARI pozwala Let's Encrypt sygnalizować klientowi, kiedy należy odnowić certyfikat; z dokumentacji klienta wynika, czy obsługuje on ARI. Konfiguracje, które odnawiają certyfikat na stałą liczbę dni przed jego wygaśnięciem, należy natomiast zmienić tak, aby odnowienie następowało po upływie mniej więcej dwóch trzecich okresu ważności certyfikatu. Let's Encrypt sugeruje przeszukanie zadań cron, skryptów opakowujących i runbooków pod kątem wpisanych na sztywno wartości, takich jak 83, 80 czy 60, i podaje, że taka korekta przygotowuje również na domyślny okres ważności 45 dni w 2028 r.

Niezależnie od tego okres, przez który można ponownie wykorzystywać autoryzacje, zostanie skrócony z 30 dni do 10 dni, a w 2028 r. ma się zmniejszyć jeszcze bardziej – do 7 godzin. Let's Encrypt podaje dwa powody: zgodność z ograniczeniem maksymalnych okresów ponownego wykorzystania walidacji, które ma wejść w życie w 2029 r., oraz pozbycie się tego, co nazywa „ponownym sprawdzaniem CAA” – mechanizmu, w ramach którego część walidacji trzeba powtórzyć, gdy dane walidacyjne są starsze niż 7 godzin. Według wpisu większość użytkowników nie będzie musiała niczego zmieniać, chyba że ich klient ACME został zbudowany specjalnie tak, by polegać na ponownym wykorzystaniu walidacji.

Według Let's Encrypt zmiana nie dotyczy limitów żądań (rate limits), punktów końcowych ACME ani jego łańcuchów wystawiania certyfikatów. Organizacja non-profit twierdzi, że krótsze okresy ważności zmniejszają ryzyko kompromitacji klucza i błędnego wystawienia certyfikatów, i zachęca subskrybentów do wykorzystania okresu przejściowego na zautomatyzowanie takich kroków jak przeładowywanie i wdrażanie certyfikatów oraz na skonfigurowanie alertów o nieudanych odnowieniach. Podaje, że spodziewa się sprawnego przebiegu zmiany, a osoby, które napotkają problemy, odsyła do swojego forum społeczności i dokumentacji.