有效期 （Validity Period）

每张 X.509 证书都用 notBefore 和 notAfter 两个时间戳声明有效期，超出这个区间客户端就会拒绝。对公网 TLS 证书，CA/浏览器论坛按签发日期限制最长有效期。根据 SC-081v3 投票：2026-03-15 之前签发的最长 398 天，2026-03-15 起为 200 天，2027-03-15 起为 100 天，2029-03-15 起为 47 天。所以截至 2026 年 11 月，上限是 200 天。

为什么重要

缩短有效期可以减少错误签发的证书或泄露的私钥被利用的时间（吊销检查本身并不可靠），也倒逼运维自动化。上限一直在下降：2012-07-01 之后签发的为 60 个月，2015-04-01 之后为 39 个月，2018-03-01 起为 825 天，2020-09-01 起为 398 天。Let's Encrypt 走得更远：tlsserver 配置文件自 2026-05-13 起签发 45 天证书，shortlived 配置文件签发六天证书，默认的 classic 配置文件将于 2027-02-10 改为 64 天。如果还在宝塔面板或云厂商控制台手动续期，应尽早改用 ACME 自动 续期。

例子

openssl x509 -in cert.pem -noout -dates
openssl x509 -in cert.pem -noout -checkend 2592000 && echo "valid for at least 30 more days"

-checkend 以秒为单位，证书将在该时间内过期时返回非零退出码。

常见误区

• 买了多年期证书就只需安装一次。 多年期只是订阅，每张证书仍受当前最长有效期限制，到期要重新签发并重新部署。
• 有效期短的证书更不安全。 有效期与加密强度无关，短有效期反而能缩小私钥泄露造成的影响。
• 设备时间不准无所谓。 客户端时钟错误会把正常证书判定为已过期或尚未生效。