# Let's Encrypt 计划把证书有效期从 90 天缩到 45 天

> ISRG 计划：2026 年 5 月起 tlsserver 配置签发 45 天证书，2027 年 2 月默认改为 64 天，2028 年 2 月起 45 天且验证结果只复用 7 小时。

Source: https://ssl.sh/zh/news/lets-encrypt-45-day-certificates/
Last updated: 2026-11-10

运营 Let's Encrypt 的非营利组织 ISRG 在 2025 年 12 月 2 日宣布，Let's Encrypt 证书将分阶段从 90 天缩短到 45 天，最后一步在 2028 年 2 月。这样 Let's Encrypt 会始终处在 CA/B 论坛 2029 年 3 月生效的 47 天上限之内。与此同时，一次域名验证可以支撑后续签发的时间（授权复用期）将降到只有 7 小时。

## 发生了什么

计划分三步调整 Let's Encrypt 的 [ACME 配置（profile）](https://ssl.sh/zh/glossary/acme-profile/)：

1. **2026-05-13**：需主动选择的 tlsserver 配置开始签发 45 天证书。
2. **2027-02-10（尚未到来）**：默认的 classic 配置改为签发 64 天证书，域名验证结果可复用 10 天。
3. **2028-02-16（尚未到来）**：classic 配置改为签发 45 天证书，验证结果只复用 7 小时。

第一步只影响主动申请 tlsserver 配置的用户。绝大多数 ACME 客户端默认拿到的是 classic 配置，它要到 2027 年 2 月才开始变化。45 天比 [SC-081 投票](https://ssl.sh/zh/news/ballot-sc-081-shorter-certificate-lifetimes/)规定的 2029 年 47 天上限略短，而 7 小时的授权复用期比该投票允许的 10 天严格得多。

## 影响谁

最终所有 Let's Encrypt 用户都会受影响，下面这些“默认证书是 90 天”的配置尤其需要检查：

- 按固定日历续期的定时任务或脚本，比如“每 60 天跑一次”；
- 按固定剩余天数告警的监控：证书刚签发时就只有 45 天，原来的阈值可能一直报警；
- 先验证一次域名、之后几天里陆续签发多张证书、依赖缓存授权的流程；
- 手动添加 TXT 记录的 [DNS-01](https://ssl.sh/zh/glossary/dns-01/) 验证。

宝塔面板、云厂商托管服务这类按 ACME 自动续期的平台，理论上会跟着自动适应，但最好确认一下它们是按什么规则判断“该续期了”的。

## 需要做什么

续期时间要按证书的实际有效期定，不要按日历定。

- 让 ACME 客户端决定何时续期。支持 [ARI](https://ssl.sh/zh/glossary/ari/)（ACME 续期信息，RFC 9773）的客户端可以由 CA 建议续期窗口，遇到大规模吊销时也能及时换证。
- 需要通配符证书的，通过 DNSPod、阿里云解析等服务商的 API 实现 DNS-01 全自动验证。
- 先在测试环境或不重要的主机上申请 tlsserver 配置，提前体验更短的有效期。
- 告警阈值按有效期比例设定，比如剩余不足三分之一时告警。

查看线上证书的实际有效期：

```bash
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null \
  | openssl x509 -noout -startdate -enddate
```

完整演练一次续期：

```bash
sudo certbot renew --dry-run
```

客户端配置方法见 [47 天证书指南](https://ssl.sh/zh/learn/47-day-certificates/)和[自动续期指南](https://ssl.sh/zh/learn/automate-certificate-renewal/)，所有已公布的日期都收录在 [Let's Encrypt 时间线](https://ssl.sh/zh/timeline/lets-encrypt/)中。