短期证书 （Short-lived Certificate）

短期证书的有效期以天计，而不是以月计。CA/浏览器论坛基线要求对这个词有明确定义：根据 SC-063 投票，2026 年 3 月 15 日起签发、有效期不超过 7 天的用户证书属于"短期证书"，可以不包含 OCSP 或 CRL 地址。Let's Encrypt 于 2026 年 1 月 15 日通过 shortlived ACME 配置文件正式提供六天（160 小时）证书，它的 IP 地址证书也走这个配置文件。

为什么重要

吊销机制一直不可靠：客户端经常跳过状态检查，或者查不到结果就直接放行；OCSP 已改为 CA 可选项，Let's Encrypt 也已关停了 OCSP 服务。证书几天后就过期，即使私钥被盗，损失也有上限，而且不依赖任何吊销检查。代价是续期必须完全自动化且足够稳健：有效期只有六天时，续期任务一旦失败，几天内就会变成故障。ACME 续期信息（ARI，RFC 9773）可以让 CA 告诉客户端什么时候该续期。仍依赖手动上传证书的站点，不适合使用短期证书。

例子

openssl x509 -in cert.pem -noout -startdate -enddate
# notBefore=Nov 10 00:00:00 2026 GMT
# notAfter=Nov 16 16:00:00 2026 GMT    （notBefore 之后 160 小时）

常见误区

• 短期证书安全性更弱。 密码学强度完全一样，只是有效期更短。
• 将来 47 天证书也算"短期证书"。 按基线要求，短期证书指 7 天及以下；47 天是 2029 年 3 月 15 日起普通证书的上限。
• 可以手工管理。 每隔几天续期一次，只有依靠 ACME 自动化和监控才现实。