Let's Encrypt gör 64-dagarscertifikat till standard från den 10 februari 2027

Let's Encrypt planerar att korta den förvalda giltighetstiden för sina certifikat till 64 dagar från och med den 10 februari 2027, enligt ett inlägg på organisationens blogg daterat den 7 oktober 2026. Från det datumet kommer varje certifikat som organisationen utfärdar eller förnyar att vara giltigt i 64 dagar, om inte abonnenten har valt någon av de ännu kortare giltighetstiderna på 45 eller 6 dagar som tillkännagavs tidigare. Let's Encrypt räknar med att de sista av dess nuvarande 90-dagarscertifikat löper ut den 11 maj 2027 och uppger att man inte kommer att återkalla certifikat som fortfarande är giltiga i samband med omläggningen.

För att möjliggöra tester börjar testmiljön (staging) utfärda 64-dagarscertifikat den 14 oktober 2026, och Let's Encrypt rekommenderar att man provar ändringen där innan den når produktionsmiljön. Enligt inlägget bör abonnenter vars förnyelser är automatiserade via en klient som stöder ACME Renewal Info (ARI) inte behöva göra något, eftersom ARI låter Let's Encrypt signalera till klienten när en förnyelse ska göras; av klientens dokumentation framgår om ARI stöds. Konfigurationer som förnyar ett fast antal dagar före utgångsdatumet bör i stället ändras så att förnyelsen sker vid ungefär två tredjedelar av certifikatets giltighetstid. Let's Encrypt föreslår att man söker igenom cron-jobb, wrapper-skript och driftrutiner (runbooks) efter hårdkodade värden som 83, 80 eller 60, och uppger att justeringen också förbereder för en förvald giltighetstid på 45 dagar 2028.

Separat sänks den period under vilken auktoriseringar kan återanvändas från 30 dagar till 10 dagar, och 2028 ska den krympa ytterligare till 7 timmar. Let's Encrypt anger två skäl: att följa en sänkning av de maximala perioderna för återanvändning av validering som väntas 2029, och att bli av med det som organisationen kallar ”CAA-omkontroll”, där en del av valideringen måste göras om när valideringsdata är äldre än 7 timmar. Enligt inlägget behöver de flesta användare inte ändra något, om inte deras ACME-klient har byggts specifikt för att vara beroende av återanvändning av validering.

Enligt Let's Encrypt påverkas inte hastighetsbegränsningar (rate limits), ACME-ändpunkter eller organisationens utfärdandekedjor. Den ideella organisationen säger att kortare giltighetstider minskar risken för nyckelkompromettering och felaktig utfärdning, och uppmanar abonnenter att använda övergången till att automatisera steg som omladdning och driftsättning av certifikat och till att sätta upp larm för misslyckade förnyelser. Organisationen säger att den räknar med att övergången går smidigt och hänvisar den som stöter på problem till sitt communityforum och sin dokumentation.