SSL/TLS 证书资讯
证书生态发生了什么变化、什么时候生效、你需要做什么,每个日期都对照官方公告核实。
证书资讯跟踪影响公开信任 TLS 证书的四类变化:修改 Baseline Requirements 的 CA/B 论坛投票,浏览器根证书计划的决定(比如不再信任某家 CA),各家证书颁发机构的安全事件,以及使用最广泛的 ACME CA Let's Encrypt 的政策调整。
每篇文章都回答三个问题:发生了什么、影响谁、需要做什么,并附上可以直接对自己服务器执行的命令。所有日期都对照文末列出的官方来源核实,尚未到来的日期会明确标注。对国内用户,文章也会说明在宝塔面板、阿里云/腾讯云证书服务、DNSPod 等环境下需要注意什么。截至 2026 年 11 月,新签发的公开 TLS 证书最长有效期为 200 天。
完整的有效期变化见证书有效期时间线,Let's Encrypt 的历次调整见 Let's Encrypt 时间线,浏览器的信任决定见根证书计划时间线。想马上看看自己网站的证书情况,可以用 SSL 检测工具。
行业政策
2026 年 3 月 15 日起,TLS 证书最长只有 200 天
2026-03-15 起新签发的公开 TLS 证书最长 200 天,域名验证复用期也降为 200 天;下一步是 2027 年 3 月的 100 天。
CA/B 论坛通过 SC-081:证书有效期 2029 年降至 47 天
SC-081v3 投票通过:公开 TLS 证书最长有效期分三步从 398 天降到 200、100、47 天,域名验证复用期最终只剩 10 天。
多视角域名验证(MPIC)成为 CA 强制要求
SC-067v3 要求 CA 从多个网络位置验证域名控制权和 CAA,2025 年 3 月起分阶段实施;只放行国内 IP 的防火墙可能导致 HTTP-01 验证失败。
浏览器与根证书计划
CA 动态
Let's Encrypt
Let's Encrypt 证书不再支持 TLS 客户端认证
2026-02-11 起 Let's Encrypt 默认 classic 配置不再包含 clientAuth 用途,临时的 tlsclient 配置已于 2026-07-08 停用,mTLS 需改用私有 CA。
Let's Encrypt 正式开放 6 天证书和 IP 地址证书
自 2026-01-15 起,Let's Encrypt 向所有用户开放 6 天(160 小时)证书和 IPv4/IPv6 地址证书,通过 shortlived 配置主动申请。
Let's Encrypt 计划把证书有效期从 90 天缩到 45 天
ISRG 计划:2026 年 5 月起 tlsserver 配置签发 45 天证书,2027 年 2 月默认改为 64 天,2028 年 2 月起 45 天且验证结果只复用 7 小时。
Let's Encrypt 推出 Generation Y 根证书与中间证书
Let's Encrypt 新增根证书 ISRG Root YR(RSA-4096)和 ISRG Root YE(ECDSA P-384),由前代根交叉签名,另有 6 张不含 clientAuth 的中间证书。
Let's Encrypt 关闭 OCSP 服务,吊销信息改走 CRL
Let's Encrypt 于 2025-08-06 关闭 OCSP 响应服务,此前已从新证书中移除 OCSP 地址并停止 Must-Staple,吊销信息只通过 CRL 发布。
Let's Encrypt 停发证书到期提醒邮件
Let's Encrypt 自 2025-06-04 起不再发送证书到期提醒邮件(2025-01-22 公布),建议改用自动续期加独立监控。
常见问题
文章里的日期是怎么核实的?
每个日期都取自一手来源:CA/B 论坛的投票或 Baseline Requirements、浏览器厂商的政策或公告、CA 自己发布的文章。来源链接列在每篇文章末尾。
在哪里能一次看到所有证书有效期的变化?
证书有效期时间线列出了所有已确定的最长有效期调整,包括 SC-081 投票规定的 200 天、100 天和 47 天三个阶段。