2026 年 3 月 15 日起，TLS 证书最长只有 200 天

2026 年 3 月 15 日，CA/B 论坛缩短证书有效期的第一步正式生效：从这一天起新签发的公开信任 TLS 证书，最长有效期为 200 天，不再是 398 天。CA 复用域名验证结果的期限也同时降到 200 天。在这之前签发的证书不受影响，按原到期日继续使用。

发生了什么

这次变化来自 2025 年 4 月通过的 SC-081v3 投票，它把分阶段缩短的时间表写进了 Baseline Requirements。截至 2026 年 11 月，所有公开信任 CA 签发的新证书都受 200 天上限约束，不管产品叫什么名字、订阅买了几年。

3 月 15 日变化的是两个数字：

• 最长有效期：200 天，此前 398 天；
• 域名验证结果复用期：200 天，此前 398 天。

同一天还有一条规则收紧。SC-063 投票定义了短期证书，并允许这类证书不携带 OCSP 或 CRL 吊销信息，因为证书本身几天就过期，吊销的意义不大。2026 年 3 月 15 日起签发的证书，有效期不超过 7 天才算短期证书，此前门槛是 10 天。Let's Encrypt 的 6 天证书正好落在新定义之内。

下一步是 2027 年 3 月 15 日起签发的证书最长 100 天（尚未生效），再往后是 2029 年 3 月 15 日起的 47 天。

影响谁

每年买一次证书、手动安装的单位首当其冲。在阿里云、腾讯云 SSL 证书服务或其他渠道买的一年期证书，现在至少要在订阅期内重新签发、重新部署一次。最容易出问题的是那些只能手动上传证书的地方：老型号负载均衡、防火墙、VPN 网关、某些 CDN 控制台，以及“前同事装的、没人知道放在哪”的证书。

域名验证的变化不那么显眼。2025 年在 CA 后台验证过一次的域名，现在不能再支撑一整年的签发，提前做过域名预验证的企业可能会比预期更早被要求重新验证。

使用 ACME 自动续期的用户目前基本不受影响：Let's Encrypt 的 90 天证书远低于 200 天，宝塔面板、acme.sh、certbot 每次下单本来就会重新验证。

需要做什么

把还在手动续期的证书找出来，在 2027 年 100 天这一步之前改成自动续期。先查看一张新证书的有效期：

openssl x509 -in cert.pem -noout -startdate -enddate

检查线上站点是否会在 30 天内到期（返回码为 1 表示会到期）：

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
  | openssl x509 -noout -checkend 2592000

然后：

• 列出未来 200 天内需要更换的所有证书，确认每张都有负责人和续期方式。
• 把 200 天当成 2027 年 100 天的演习：如果续期还需要有人登录服务器上传文件，现在就改成自动化。
• 用批量 SSL 检测一次检查多台主机，用有效期计算器查任意签发日期对应的上限，完整时间表见证书有效期时间线。