EN

SSL/TLS 时间线

所有影响证书能用多久、浏览器信任哪些 CA、Let's Encrypt 签发什么证书的日期，都按官方来源核对，并标明已生效还是即将生效。

最后核实 状态按 2026 年 11 月 10 日 计算

即将生效的变化

  1. 即将生效

    DigiCert 默认改由 G5 TLS 根证书签发

    DigiCert 计划把 DigiCert TLS RSA4096 Root G5 和 DigiCert TLS ECC P384 Root G5 作为默认签发层级（原定 2026 年 10 月 15 日，已推迟）。

    影响谁： DigiCert 客户，以及信任库里可能没有 G5 根证书的客户端。

    来源： DigiCert: Root strategy aligning with industry standards

  2. 即将生效

    Chrome 不再信任 emSign Root CA - G1 新证书

    Chrome 153 及以后不信任链到 emSign Root CA - G1、且最早 SCT 晚于 2026 年 11 月 16 日 23:59:59（UTC）的证书。

    影响谁： 证书链到 emSign Root CA - G1 的网站，续期前请更换 CA。

    来源： Google: Protecting Chrome and Android users from compromised eMudhra intermediate CA certificates

  3. 即将生效

    MPIC：至少 5 个远程视角

    MPIC 最后一个阶段要求 CA 至少从 5 个远程网络视角（彼此相距至少 500 公里）确认域名验证和 CAA 结果。

    影响谁： 对验证路径设置了严格入站防火墙规则的网站。

    来源： CA/Browser Forum Baseline Requirements

  4. 即将生效Let's Encrypt

    Let's Encrypt 默认证书缩短到 64 天

    Let's Encrypt 默认的 classic 配置计划改为签发 64 天证书，授权（域名验证）复用期缩短到 10 天。

    影响谁： 大多数 Let's Encrypt 用户（certbot、acme.sh、宝塔等面板和使用默认配置的托管商）。

    来源： ISRG: From 90 to 45 days

  5. 即将生效

    默认证书改为 64 天，授权复用 10 天

    classic 配置计划改为签发 64 天证书，域名授权只复用 10 天。

    影响谁： 大多数 Let's Encrypt 用户。

    来源： ISRG: From 90 to 45 days

  6. 即将生效

    最长 100 天；域名验证可复用 100 天

    2027 年 3 月 15 日及之后签发的证书最长 100 天，域名验证结果最多复用 100 天。

    影响谁： 所有还在手动续期的用户：每年约要续 4 次。

    来源： CA/Browser Forum Baseline Requirements

  7. 即将生效

    Chrome：叶子证书只能是 serverAuth

    2027 年 3 月 15 日及之后签发、链到 Chrome 根证书库的用户证书必须包含 EKU 扩展且只含 serverAuth。子 CA 还必须接入自动化方案。

    影响谁： 仍在购买含 clientAuth 的公网 TLS 证书的用户；客户端认证请改用[私有 CA](term:private-ca)。

    来源： Chrome Root Program Policy, Version 1.8

  8. 即将生效

    下一批 15 年根证书移除（2008–2009 年密钥）

    密钥生成于 2008–2009 年的根证书计划在 2027 年 4 月 15 日前后从 Chrome 根证书库移除。

    影响谁： 仍由这一时期根证书签发证书的 CA 的客户。

    来源： Chrome Root Program Policy, Version 1.8

  9. 即将生效

    Chrome 每个 CA 最多两个根证书

    Chrome 根证书库对每个 CA 所有者最多收录两个根证书，促使 CA 集中到新的专用 TLS 根证书上。

    影响谁： 拥有大量老根证书的 CA，以及固定信任某个根证书的客户端。

    来源： Chrome Root Program Policy, Version 1.8

  10. 即将生效Let's Encrypt

    Let's Encrypt 默认证书缩短到 45 天

    Let's Encrypt 的 classic 配置计划改为签发 45 天证书，授权复用期缩短到 7 小时，几乎每次续期都要重新验证域名。

    影响谁： 所有使用默认配置的 Let's Encrypt 用户；续期时间应按 [ARI](term:ari) 决定，不要写死 60 天。

    来源： ISRG: From 90 to 45 days

  11. 即将生效

    默认证书改为 45 天，授权复用 7 小时

    classic 配置计划改为签发 45 天证书，授权只复用 7 小时，相当于每次续期都重新验证域名。续期时机建议交给 ARI 决定。

    影响谁： 所有使用默认配置的 Let's Encrypt 用户。

    来源： ISRG: From 90 to 45 days

  12. 即将生效

    最长 47 天；域名验证只能复用 10 天

    2029 年 3 月 15 日及之后签发的证书最长 47 天，域名验证结果最多复用 10 天。到这一步，手动续期基本不现实，参见 47 天证书。

    影响谁： 所有使用公网 TLS 证书的单位，尤其是难以自动化的硬件设备、负载均衡和 CDN。

    来源： CA/Browser Forum Baseline Requirements

最近生效

常见问题

每个事件“已生效 / 即将生效”是怎么判断的？

事件日期早于或等于页面生成日期就标为已生效，否则标为即将生效。页面会定期重新生成，每条时间线顶部都写明了计算状态所用的日期。

这些日期的来源是什么？

只用一手来源：CA/浏览器论坛的投票和 Baseline Requirements、Chrome 根证书计划政策、谷歌、Mozilla 和苹果的公告，以及 Let's Encrypt / ISRG 的官方文章。每个事件都附有来源链接。