# SC-081v3：证书有效期 2029 年降到 47 天

> SC-081v3 把公开受信任 TLS 证书最长有效期从 398 天分三步降到 200、100、47 天，域名验证复用期到 2029 年只剩 10 天。

Source: https://ssl.sh/zh/ballots/sc-081/
Last updated: 2026-11-10

SC-081v3 终结了“一年一换”的 TLS 证书。它规定公开受信任证书的最长有效期在 2026-03-15 从 398 天降到 200 天，2027-03-15 降到 100 天，2029-03-15 降到 47 天；CA 复用域名验证结果的期限到 2029 年只剩 10 天。

## 改了什么

SC-081v3 改写了[基线要求](https://ssl.sh/zh/glossary/baseline-requirements/)里的两处：证书最长有效期（§6.3.2）和验证数据复用期（§4.2.1）。此前证书最长 398 天，域名和 IP 验证可复用 398 天，组织信息可复用 825 天。提案人来自 Apple，Sectigo、Google Chrome 和 Mozilla 附议。投票文本给出的理由是：有效期越短，误签或私钥泄露的证书能被滥用的时间越短，也会推动所有人实现自动化。

## 生效日期

SC-081v3 按证书签发日期分三步收紧这两项上限：

| 签发日期 | 最长有效期 | 域名/IP 验证复用期 |
|---|---|---|
| 2026-03-14 及以前 | 398 天 | 398 天 |
| 2026-03-15 起 | 200 天 | 200 天 |
| 2027-03-15 起 | 100 天 | 100 天 |
| 2029-03-15 起 | 47 天 | 10 天 |

OV、EV 证书里的组织信息从 2026-03-15 起最多复用 398 天。截至 2026 年 11 月，第一步已经生效。

## 影响谁

所有公开受信任的 TLS 服务器证书都受约束，不分 DV、OV、EV，也不分免费还是付费。已签发的证书按原到期日失效，新规则按签发日期算；企业内网自建 CA 不受影响。受冲击最大的是手动换证书的网站：在阿里云、腾讯云等控制台下载证书再手动上传到服务器、CDN 或负载均衡的做法，到 2027 年后差不多每三个月就要做一次，2029 年后每个月都要做。已经用 [ACME](https://ssl.sh/zh/glossary/acme/) 自动续期（acme.sh、certbot、宝塔面板的 Let's Encrypt 功能）且大约 60 天续一次的网站，在 47 天这一步之前基本没有影响。

## 该怎么做

现在就把续期自动化：用 acme.sh、certbot 或云厂商的托管证书，并确认续期脚本会重载 Nginx/Apache；再配一个到期[监控](/zh/monitor/)兜底。2029 年起域名验证只能复用 10 天，最好选能被脚本反复执行的验证方式，比如用 DNSPod、阿里云 DNS 等提供 API 的服务商做 [DNS-01](https://ssl.sh/zh/glossary/dns-01/) 验证。从 5 年到 47 天的完整历程见[证书有效期时间线](https://ssl.sh/zh/timeline/certificate-validity/)。


| 字段 | 值 |
|---|---|
| 投票 | SC-081v3 |
| 状态 | 通过 |
| 通过 | 2025-04-11 |
| 生效 | 2025-05-16 |
| BR 版本 | 2.1.5 |
| 官方页面 | https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/ |