Let's Encrypt 计划把证书有效期从 90 天缩到 45 天

运营 Let's Encrypt 的非营利组织 ISRG 在 2025 年 12 月 2 日宣布，Let's Encrypt 证书将分阶段从 90 天缩短到 45 天，最后一步在 2028 年 2 月。这样 Let's Encrypt 会始终处在 CA/B 论坛 2029 年 3 月生效的 47 天上限之内。与此同时，一次域名验证可以支撑后续签发的时间（授权复用期）将降到只有 7 小时。

发生了什么

计划分三步调整 Let's Encrypt 的 ACME 配置（profile）：

1. 2026-05-13：需主动选择的 tlsserver 配置开始签发 45 天证书。
2. 2027-02-10（尚未到来）：默认的 classic 配置改为签发 64 天证书，域名验证结果可复用 10 天。
3. 2028-02-16（尚未到来）：classic 配置改为签发 45 天证书，验证结果只复用 7 小时。

第一步只影响主动申请 tlsserver 配置的用户。绝大多数 ACME 客户端默认拿到的是 classic 配置，它要到 2027 年 2 月才开始变化。45 天比 SC-081 投票规定的 2029 年 47 天上限略短，而 7 小时的授权复用期比该投票允许的 10 天严格得多。

影响谁

最终所有 Let's Encrypt 用户都会受影响，下面这些“默认证书是 90 天”的配置尤其需要检查：

• 按固定日历续期的定时任务或脚本，比如“每 60 天跑一次”；
• 按固定剩余天数告警的监控：证书刚签发时就只有 45 天，原来的阈值可能一直报警；
• 先验证一次域名、之后几天里陆续签发多张证书、依赖缓存授权的流程；
• 手动添加 TXT 记录的 DNS-01 验证。

宝塔面板、云厂商托管服务这类按 ACME 自动续期的平台，理论上会跟着自动适应，但最好确认一下它们是按什么规则判断“该续期了”的。

需要做什么

续期时间要按证书的实际有效期定，不要按日历定。

• 让 ACME 客户端决定何时续期。支持 ARI（ACME 续期信息，RFC 9773）的客户端可以由 CA 建议续期窗口，遇到大规模吊销时也能及时换证。
• 需要通配符证书的，通过 DNSPod、阿里云解析等服务商的 API 实现 DNS-01 全自动验证。
• 先在测试环境或不重要的主机上申请 tlsserver 配置，提前体验更短的有效期。
• 告警阈值按有效期比例设定，比如剩余不足三分之一时告警。

查看线上证书的实际有效期：

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
  | openssl x509 -noout -startdate -enddate

完整演练一次续期：

sudo certbot renew --dry-run

客户端配置方法见 47 天证书指南和自动续期指南，所有已公布的日期都收录在 Let's Encrypt 时间线中。