# 短期证书是什么？定义、例子与常见误区

> 短期证书是有效期只有几天的 TLS 证书，靠快速过期而不是吊销来限制被盗证书可被滥用的时间。

Source: https://ssl.sh/zh/glossary/short-lived-certificate/
Last updated: 2026-11-10

短期证书的有效期以天计，而不是以月计。CA/浏览器论坛基线要求对这个词有明确定义：根据 SC-063 投票，2026 年 3 月 15 日起签发、有效期不超过 7 天的用户证书属于"短期证书"，可以不包含 OCSP 或 [CRL](https://ssl.sh/zh/glossary/crl/) 地址。Let's Encrypt 于 2026 年 1 月 15 日通过 shortlived [ACME 配置文件](https://ssl.sh/zh/glossary/acme-profile/)正式提供六天（160 小时）证书，它的 IP 地址证书也走这个配置文件。

## 为什么重要
[吊销](https://ssl.sh/zh/glossary/revocation/)机制一直不可靠：客户端经常跳过状态检查，或者查不到结果就直接放行；OCSP 已改为 CA 可选项，Let's Encrypt 也已关停了 OCSP 服务。证书几天后就过期，即使私钥被盗，损失也有上限，而且不依赖任何吊销检查。代价是续期必须完全自动化且足够稳健：有效期只有六天时，续期任务一旦失败，几天内就会变成故障。ACME 续期信息（[ARI](https://ssl.sh/zh/glossary/ari/)，RFC 9773）可以让 CA 告诉客户端什么时候该续期。仍依赖手动上传证书的站点，不适合使用短期证书。

## 例子
```bash
openssl x509 -in cert.pem -noout -startdate -enddate
# notBefore=Nov 10 00:00:00 2026 GMT
# notAfter=Nov 16 16:00:00 2026 GMT    （notBefore 之后 160 小时）
```

## 常见误区
- **短期证书安全性更弱。** 密码学强度完全一样，只是有效期更短。
- **将来 47 天证书也算"短期证书"。** 按基线要求，短期证书指 7 天及以下；47 天是 2029 年 3 月 15 日起普通证书的上限。
- **可以手工管理。** 每隔几天续期一次，只有依靠 ACME 自动化和监控才现实。

## 相关术语

- [有效期](https://ssl.sh/zh/glossary/validity-period/): 有效期是证书中 notBefore 与 notAfter 两个时间之间的区间，只有在此区间内客户端才会接受这张证书。
- [证书吊销](https://ssl.sh/zh/glossary/revocation/): 证书吊销是 CA 在证书到期前宣布其作废的操作，通过 CRL 或 OCSP 对外公布，使客户端不再信任这张证书。
- [OCSP](https://ssl.sh/zh/glossary/ocsp/): OCSP 是 RFC 6960 定义的在线证书状态协议，客户端可以向 CA 的响应服务器查询某一张证书当前是有效、已吊销还是未知。
- [CRL](https://ssl.sh/zh/glossary/crl/): CRL 是由 CA 签名并定期重新发布的证书吊销列表，列出它在证书到期前就已吊销的证书序列号。
- [ACME Profile](https://ssl.sh/zh/glossary/acme-profile/): ACME Profile 是 CA 在 ACME 目录中公布的命名证书模板，客户端下单时选择它来决定证书的有效期和内容。
- [ARI](https://ssl.sh/zh/glossary/ari/): ARI 是 ACME 的扩展标准（RFC 9773），由 CA 告诉客户端某张证书应该在哪个时间窗口内续期。
- [证书续期](https://ssl.sh/zh/glossary/certificate-renewal/): 证书续期是在证书到期前申请一张新证书来替换它，最好全自动完成并同时更换密钥对。
- [Let's Encrypt](https://ssl.sh/zh/glossary/let-s-encrypt/): Let's Encrypt 是由非营利组织 ISRG 运营的免费、自动化证书颁发机构，通过 ACME 协议签发域名验证型 TLS 证书。