证书有效期缩至 64 天

全球发证量最大的证书颁发机构 Let’s Encrypt 10 月 7 日官宣：2027 年 2 月 10 日起新签发证书的有效期从 90 天缩短到 64 天，2026 年 10 月 14 日起开发者可自愿加入测试。伴随调整的还有授权复用期——从 30 天缩到 10 天，2028 年计划进一步压到 7 小时。官方博客同时把 45 天有效期列入 2028 年目标，并给所有证书持有者留了一份检查清单：审计续期脚本、确认 ACME 客户端支持 ARI、配好到期告警。

要点

64 天，2027 年 2 月 10 日生效：留给运维的过渡期约四个月，10 月 14 日开始可以提前在测试环境演练。
两件事必须做：检查续期脚本里硬编码的时间偏移（官方点名 60、80、83 天这类写法），确认 ACME 客户端支持 ARI（ACME Renewal Information）。
这不是终点：45 天已在 2028 年计划表上；据 Ars Technica 转述的 CA/Browser Forum 行业日程，全行业 2026 年 3 月起上限 200 天、2027 年 100 天、2029 年 47 天。

背景

90 天有效期是 Let’s Encrypt 2016 年上线时的设计：短寿命证书倒逼自动化续期，让 HTTPS 的部署成本降到接近零。十年后轮到发证方自己再砍一刀——动机与当年一致，缩短证书在密钥泄露或误签发后的暴露窗口。这场「越签越短」的竞赛也不只属于 Let’s Encrypt：CA/Browser Forum 的行业日程把上限收紧写进了日历，商业 CA（如 DigiCert）也在按同一张表执行。我们此前报道过 Cloudflare 的公共 CA 服务——大平台自建签发通道，正是对「续期节奏越来越快」的另一种回应。

事实部分

变化	现状	之后	时间
证书有效期	90 天	64 天	2027 年 2 月 10 日起
授权复用期	30 天	10 天	与 64 天同步
自愿测试	—	64 天链路可选测试	2026 年 10 月 14 日起
下一站	64 天	45 天	2028 年（计划）

官方博客给出的运维清单有三条，按优先级排：其一，审计所有续期自动化里的硬编码偏移——凡是在「到期前 60 天续期」这类假设下写的 cron 或 runbook 都要改，因为 64 天寿命下这些偏移可能永远轮空或失效；其二，确认 ACME 客户端支持 ARI，这条扩展让发证方可以精确告知「这张证书该续了」，是短周期下的协调机制；其三，给续期失败配告警。Ars Technica 补充了一个容易忽略的变化：授权复用期缩到 10 天、2028 年到 7 小时后，依赖缓存验证数据的客户端会最先感受到差异。

各方说法

Ars Technica 把这次调整放进 CA/Browser Forum 的全行业日程里解读，指出 Let’s Encrypt 只是按表执行——浏览器厂商主导的「越短越安全」路线已成定局，引用的 DigiCert 日程显示 2029 年全行业要走到 47 天。IT之家的中文报道突出了「全球最大网站证书颁发机构」的量级：它签发的证书覆盖全网相当大比例的 HTTPS 流量，任何时间表变化都是全网运维事件。官方博客的语气则是典型的工程风格：列清单、给日期、留测试窗口，没有渲染紧迫性，但把「不检查会发生什么」写得很清楚。

编辑判断

这次调整对不同人群的体感差别很大：用托管平台（Vercel、Cloudflare、各类 PaaS）的部署是全动态续期，大概率无感；自管 certbot、内网工具链、老嵌入式设备，每一个硬编码的「60 天」都是隐患。真正值得做的一件事：现在就去 grep 你的基础设施里所有证书相关脚本，把「按天数倒计时」改成「按 ARI/到期告警触发」。诚实的不确定性：2028 年 45 天与 2029 年 47 天的行业日程仍是计划，浏览器厂商与 CA 之间的博弈可能调整节奏。

接下来

2026 年 10 月 14 日：64 天链路自愿测试开始，建议在预发环境演练。
2027 年 2 月 10 日：新签证书一律 64 天，授权复用同步缩至 10 天。
2028 年：45 天有效期与 7 小时授权复用列入计划。