# CA/B 论坛通过 SC-081：证书有效期 2029 年降至 47 天

> SC-081v3 投票通过：公开 TLS 证书最长有效期分三步从 398 天降到 200、100、47 天，域名验证复用期最终只剩 10 天。

Source: https://ssl.sh/zh/news/ballot-sc-081-shorter-certificate-lifetimes/
Last updated: 2026-11-10

2025 年 4 月 11 日，CA/浏览器论坛（CA/B Forum）通过了由苹果提出的 SC-081v3 投票，给公开信任的 TLS 证书定下了缩短有效期的时间表：最长有效期从 398 天分三步降到 2029 年 3 月的 47 天。CA 复用域名验证结果的期限也同步缩短，最终只剩 10 天。所有限制都按签发日期计算，已经签发、正在使用的证书不会被“缩短”。

## 发生了什么

这次投票没有一张反对票。投票期为 2025 年 4 月 4 日至 11 日。证书签发方（也就是各家 CA）25 票赞成、0 票反对、5 票弃权；证书使用方（浏览器和操作系统厂商）4 票赞成、无反对、无弃权，投票通过。这次修改的是 [Baseline Requirements](https://ssl.sh/zh/glossary/baseline-requirements/)，即所有公开信任的[证书颁发机构](https://ssl.sh/zh/glossary/certificate-authority/)都必须遵守的基础规则。

新的最长[有效期](https://ssl.sh/zh/glossary/validity-period/)和[域名验证](https://ssl.sh/zh/glossary/dcv/)复用期按签发日期划分：

| 签发日期 | 最长有效期 | 域名验证复用期 |
|---|---|---|
| 2026-03-14 及以前 | 398 天 | 398 天 |
| 2026-03-15 起 | 200 天 | 200 天 |
| 2027-03-15 起 | 100 天 | 100 天 |
| 2029-03-15 起 | 47 天 | 10 天 |

[OV](https://ssl.sh/zh/glossary/ov-certificate/) 和 [EV](https://ssl.sh/zh/glossary/ev-certificate/) 证书里经过核验的企业身份信息仍然可以复用最长 398 天，所以换证时不必每次都重新走一遍企业审核流程。被替换掉的 398 天上限，是从 2020 年 9 月开始实施的。

## 影响谁

凡是网站、API、邮件服务器用的是公开信任证书的，都会受影响，区别只是早晚和程度。

- **每年手动换一次证书的团队**最先感到压力。2026 年 3 月以后，单张证书撑不满一年；在阿里云、腾讯云等平台买的一年期证书，期间至少要重新签发、重新部署一次。到 47 天这一步，一年至少要签发 8 次，靠人工登录服务器上传文件基本不现实。
- **域名验证会更频繁。** 2029 年起 CA 只能复用 10 天以内的验证结果，实际上每次续期都要重新完成一次 [HTTP-01](https://ssl.sh/zh/glossary/http-01/) 或 [DNS-01](https://ssl.sh/zh/glossary/dns-01/) 验证。用 DNS 验证的团队，应当接入 DNSPod、阿里云解析等服务商的 API，而不是每次手动添加 TXT 记录。
- **已经用 [ACME](https://ssl.sh/zh/glossary/acme/) 自动续期的**，比如宝塔面板里的 Let's Encrypt 证书、acme.sh、certbot，受影响较小，重点是确认每台服务器、负载均衡、CDN 节点上的证书都真的在自动续期，而不是只有主站那一台。Let's Encrypt 自己还有缩短到 45 天的计划，见[这篇报道](https://ssl.sh/zh/news/lets-encrypt-45-day-certificates/)。

只在自家设备之间信任的[私有 CA](https://ssl.sh/zh/glossary/private-ca/) 证书不受这套规则约束。

## 需要做什么

最要紧的期限是 2027 年 3 月 15 日 100 天这一步（尚未到来）。

1. 盘点所有公开证书，包括 SLB、CDN、WAF 和各种硬件设备上的，记录每张证书由谁负责、怎么续期。
2. 在这一步生效之前，把手动续期改成 ACME 或云厂商提供的自动部署。
3. 单独做到期监控，不要只依赖续期程序本身“没报错”。

查看服务器当前证书的签发者和有效期：

```bash
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
  | openssl x509 -noout -issuer -dates
```

不等证书到期，先演练一次续期流程：

```bash
sudo certbot renew --dry-run
```

可以用[有效期计算器](https://ssl.sh/zh/tools/validity-calculator/)查某个签发日期对应的最长有效期，用 [SSL 检测工具](https://ssl.sh/zh/tools/ssl-checker/)确认线上实际部署的证书。完整的变化历史见[证书有效期时间线](https://ssl.sh/zh/timeline/certificate-validity/)，自动化方案见 [47 天证书指南](https://ssl.sh/zh/learn/47-day-certificates/)。