CA/B 论坛通过 SC-081：证书有效期 2029 年降至 47 天

2025 年 4 月 11 日，CA/浏览器论坛（CA/B Forum）通过了由苹果提出的 SC-081v3 投票，给公开信任的 TLS 证书定下了缩短有效期的时间表：最长有效期从 398 天分三步降到 2029 年 3 月的 47 天。CA 复用域名验证结果的期限也同步缩短，最终只剩 10 天。所有限制都按签发日期计算，已经签发、正在使用的证书不会被“缩短”。

发生了什么

这次投票没有一张反对票。投票期为 2025 年 4 月 4 日至 11 日。证书签发方（也就是各家 CA）25 票赞成、0 票反对、5 票弃权；证书使用方（浏览器和操作系统厂商）4 票赞成、无反对、无弃权，投票通过。这次修改的是 Baseline Requirements，即所有公开信任的证书颁发机构都必须遵守的基础规则。

新的最长有效期和域名验证复用期按签发日期划分：

OV 和 EV 证书里经过核验的企业身份信息仍然可以复用最长 398 天，所以换证时不必每次都重新走一遍企业审核流程。被替换掉的 398 天上限，是从 2020 年 9 月开始实施的。

影响谁

凡是网站、API、邮件服务器用的是公开信任证书的，都会受影响，区别只是早晚和程度。

• 每年手动换一次证书的团队最先感到压力。2026 年 3 月以后，单张证书撑不满一年；在阿里云、腾讯云等平台买的一年期证书，期间至少要重新签发、重新部署一次。到 47 天这一步，一年至少要签发 8 次，靠人工登录服务器上传文件基本不现实。
• 域名验证会更频繁。 2029 年起 CA 只能复用 10 天以内的验证结果，实际上每次续期都要重新完成一次 HTTP-01 或 DNS-01 验证。用 DNS 验证的团队，应当接入 DNSPod、阿里云解析等服务商的 API，而不是每次手动添加 TXT 记录。
• 已经用 ACME 自动续期的，比如宝塔面板里的 Let's Encrypt 证书、acme.sh、certbot，受影响较小，重点是确认每台服务器、负载均衡、CDN 节点上的证书都真的在自动续期，而不是只有主站那一台。Let's Encrypt 自己还有缩短到 45 天的计划，见这篇报道。

只在自家设备之间信任的私有 CA 证书不受这套规则约束。

需要做什么

最要紧的期限是 2027 年 3 月 15 日 100 天这一步（尚未到来）。

1. 盘点所有公开证书，包括 SLB、CDN、WAF 和各种硬件设备上的，记录每张证书由谁负责、怎么续期。
2. 在这一步生效之前，把手动续期改成 ACME 或云厂商提供的自动部署。
3. 单独做到期监控，不要只依赖续期程序本身“没报错”。

查看服务器当前证书的签发者和有效期：

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
  | openssl x509 -noout -issuer -dates

不等证书到期，先演练一次续期流程：

sudo certbot renew --dry-run

可以用有效期计算器查某个签发日期对应的最长有效期，用 SSL 检测工具确认线上实际部署的证书。完整的变化历史见证书有效期时间线，自动化方案见 47 天证书指南。