# 2026 年 3 月 15 日起，TLS 证书最长只有 200 天 > 2026-03-15 起新签发的公开 TLS 证书最长 200 天，域名验证复用期也降为 200 天；下一步是 2027 年 3 月的 100 天。 Source: https://ssl.sh/zh/news/200-day-certificate-limit-in-effect/ Last updated: 2026-11-10 2026 年 3 月 15 日，CA/B 论坛缩短证书有效期的第一步正式生效：从这一天起新签发的公开信任 TLS 证书，最长有效期为 200 天，不再是 398 天。CA 复用域名验证结果的期限也同时降到 200 天。在这之前签发的证书不受影响，按原到期日继续使用。 ## 发生了什么 这次变化来自 2025 年 4 月通过的 [SC-081v3 投票](https://ssl.sh/zh/news/ballot-sc-081-shorter-certificate-lifetimes/)，它把分阶段缩短的时间表写进了 [Baseline Requirements](https://ssl.sh/zh/glossary/baseline-requirements/)。截至 2026 年 11 月，所有公开信任 CA 签发的新证书都受 200 天上限约束，不管产品叫什么名字、订阅买了几年。 3 月 15 日变化的是两个数字： - 最长[有效期](https://ssl.sh/zh/glossary/validity-period/)：200 天，此前 398 天； - [域名验证](https://ssl.sh/zh/glossary/dcv/)结果复用期：200 天，此前 398 天。 同一天还有一条规则收紧。SC-063 投票定义了[短期证书](https://ssl.sh/zh/glossary/short-lived-certificate/)，并允许这类证书不携带 [OCSP](https://ssl.sh/zh/glossary/ocsp/) 或 [CRL](https://ssl.sh/zh/glossary/crl/) 吊销信息，因为证书本身几天就过期，吊销的意义不大。2026 年 3 月 15 日起签发的证书，有效期不超过 7 天才算短期证书，此前门槛是 10 天。Let's Encrypt 的 [6 天证书](https://ssl.sh/zh/news/lets-encrypt-six-day-and-ip-certificates/)正好落在新定义之内。 下一步是 2027 年 3 月 15 日起签发的证书最长 100 天（尚未生效），再往后是 2029 年 3 月 15 日起的 47 天。 ## 影响谁 每年买一次证书、手动安装的单位首当其冲。在阿里云、腾讯云 SSL 证书服务或其他渠道买的一年期证书，现在至少要在订阅期内重新签发、重新部署一次。最容易出问题的是那些只能手动上传证书的地方：老型号负载均衡、防火墙、VPN 网关、某些 CDN 控制台，以及“前同事装的、没人知道放在哪”的证书。 域名验证的变化不那么显眼。2025 年在 CA 后台验证过一次的域名，现在不能再支撑一整年的签发，提前做过域名预验证的企业可能会比预期更早被要求重新验证。 使用 [ACME](https://ssl.sh/zh/glossary/acme/) 自动续期的用户目前基本不受影响：Let's Encrypt 的 90 天证书远低于 200 天，宝塔面板、acme.sh、certbot 每次下单本来就会重新验证。 ## 需要做什么 把还在手动续期的证书找出来，在 2027 年 100 天这一步之前改成自动续期。先查看一张新证书的有效期： ```bash openssl x509 -in cert.pem -noout -startdate -enddate ``` 检查线上站点是否会在 30 天内到期（返回码为 1 表示会到期）： ```bash echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \ | openssl x509 -noout -checkend 2592000 ``` 然后： - 列出未来 200 天内需要更换的所有证书，确认每张都有负责人和续期方式。 - 把 200 天当成 2027 年 100 天的演习：如果续期还需要有人登录服务器上传文件，现在就[改成自动化](https://ssl.sh/zh/learn/automate-certificate-renewal/)。 - 用[批量 SSL 检测](https://ssl.sh/zh/tools/bulk-ssl-checker/)一次检查多台主机，用[有效期计算器](https://ssl.sh/zh/tools/validity-calculator/)查任意签发日期对应的上限，完整时间表见[证书有效期时间线](https://ssl.sh/zh/timeline/certificate-validity/)。