EN

时间线

TLS 证书有效期时间线：从 5 年到 47 天

从 2026 年 3 月 15 日起，新签发的公网信任 TLS 证书最长只能用 200 天。按照 CA/浏览器论坛的 SC-081v3 投票，2027 年 3 月降到 100 天，2029 年 3 月降到 47 天，届时域名验证结果也只能复用 10 天。

最后核实 状态按 2026 年 11 月 10 日 计算

按签发日期的最长有效期

签发日期起最长有效期域名验证复用期状态
60 个月—已生效
39 个月—已生效
825 天—已生效
398 天—已生效
200 天200 天已生效
100 天100 天即将生效
47 天10 天即将生效

以上上限适用于 CA/浏览器论坛 Baseline Requirements 约束的公网信任 TLS 服务器证书，按签发日期执行；在截止日之前签发的证书按原有效期到期，不受影响。

时间线

  1. 已生效

    Baseline Requirements 生效：最长 60 个月

    CA/浏览器论坛的 Baseline Requirements 成为公网 CA 的共同规则。2012 年 7 月 1 日之后签发的证书最长有效期为 60 个月。

    影响谁： 所有公网 CA，以及向它们购买证书的网站。

    来源： CA/Browser Forum: Baseline Requirements FAQ

  2. 已生效

    最长有效期降到 39 个月

    2015 年 4 月 1 日之后签发的证书最长有效期为 39 个月，5 年期 TLS 证书从此退出。

    影响谁： CA，以及购买多年期证书的用户。

    来源： CA/Browser Forum: Baseline Requirements FAQ

  3. 已生效

    最长 825 天（第 193 号投票）

    2017 年 3 月通过的第 193 号投票规定，2018 年 3 月 1 日之后签发的证书最长 825 天（约 27 个月）。

    影响谁： CA，以及购买两年、三年期证书的用户。

    来源： CA/Browser Forum Ballot 193: 825-day Certificate Lifetimes

  4. 已生效

    浏览器强制执行 398 天上限

    苹果率先、谷歌和 Mozilla 随后宣布：2020 年 9 月 1 日及之后签发、有效期超过 398 天的证书一律不信任。CA/浏览器论坛在 2020 年 7 月通过 SC31 投票，把这一上限写入 Baseline Requirements。此后一年期证书成为主流。

    影响谁： 所有使用公网证书的网站；两年期证书从此停售。

    来源： Apple: About upcoming limits on trusted certificates · Mozilla Security Blog: Reducing TLS Certificate Lifespans to 398 Days

  5. 已生效

    SC-081v3 投票通过：200 天、100 天，最终 47 天

    CA/浏览器论坛服务器证书工作组通过了由苹果提出的 SC-081v3 投票（2025 年 4 月 11 日投票结束：证书签发方 25 票赞成、0 票反对、5 票弃权；证书使用方 4 票赞成）。它给出了分阶段时间表：最长有效期降到 200、100、47 天，域名验证复用期降到 200、100、10 天。

    影响谁： 所有公网 TLS CA，以及所有还在手动续期证书的单位。

    来源： CA/Browser Forum Ballot SC-081v3

  6. 已生效

    最长 200 天；域名验证可复用 200 天

    2026 年 3 月 15 日及之后签发的证书最长 200 天，CA 复用域名验证结果最多 200 天（原为 398 天）。同一天起，不需要吊销信息的短期证书指有效期 7 天及以下的证书。

    影响谁： 购买一年期证书的用户：买一年，中途至少要重签一次。

    来源： CA/Browser Forum Baseline Requirements · CA/Browser Forum Ballot SC-081v3

  7. 已生效Let's Encrypt

    Let's Encrypt tlsserver 配置改签 45 天证书

    Let's Encrypt 可选的 tlsserver ACME 配置开始签发 45 天证书，先于默认配置调整。

    影响谁： 明确请求 tlsserver 配置的 ACME 客户端。

    来源： ISRG: From 90 to 45 days

  8. 即将生效Let's Encrypt

    Let's Encrypt 默认证书缩短到 64 天

    Let's Encrypt 默认的 classic 配置计划改为签发 64 天证书，授权（域名验证）复用期缩短到 10 天。

    影响谁： 大多数 Let's Encrypt 用户（certbot、acme.sh、宝塔等面板和使用默认配置的托管商）。

    来源： ISRG: From 90 to 45 days

  9. 即将生效

    最长 100 天；域名验证可复用 100 天

    2027 年 3 月 15 日及之后签发的证书最长 100 天，域名验证结果最多复用 100 天。

    影响谁： 所有还在手动续期的用户：每年约要续 4 次。

    来源： CA/Browser Forum Baseline Requirements

  10. 即将生效Let's Encrypt

    Let's Encrypt 默认证书缩短到 45 天

    Let's Encrypt 的 classic 配置计划改为签发 45 天证书，授权复用期缩短到 7 小时，几乎每次续期都要重新验证域名。

    影响谁： 所有使用默认配置的 Let's Encrypt 用户；续期时间应按 [ARI](term:ari) 决定，不要写死 60 天。

    来源： ISRG: From 90 to 45 days

  11. 即将生效

    最长 47 天；域名验证只能复用 10 天

    2029 年 3 月 15 日及之后签发的证书最长 47 天，域名验证结果最多复用 10 天。到这一步，手动续期基本不现实，参见 47 天证书。

    影响谁： 所有使用公网 TLS 证书的单位，尤其是难以自动化的硬件设备、负载均衡和 CDN。

    来源： CA/Browser Forum Baseline Requirements

常见问题

新上限生效那天，我手上的证书要马上换吗？

不用。上限只约束生效日及之后签发的证书。比如 2026 年 3 月 14 日签发的 398 天证书，照样用到它自己的到期日；只是下一张证书最长只能签 200 天。

为什么要不断缩短证书有效期？

有效期越短，误签的证书或泄露的私钥能被滥用的时间越短；域名验证信息也更新得更及时；同时逼着大家把续期自动化，以后要整体更换证书或算法时才换得动。证书吊销检查一直不够可靠，单靠吊销解决不了这些问题。

2029 年以后，是不是每 10 天就要验证一次域名？

CA 上一次域名验证超过 10 天就必须重新验证，实际上就是每次续期都要重新验证一遍。用 ACME 自动化（HTTP-01、DNS-01 或 TLS-ALPN-01）时这一步自动完成；靠邮件、手动上传文件验证的方式会非常吃力。用阿里云、腾讯云 DNS 或 DNSPod 的，可以用 DNS API 做 DNS-01 自动验证。

私有 CA、代码签名证书、S/MIME 邮件证书也受影响吗？

不受影响。SC-081v3 修改的是公网信任 TLS 服务器证书的 Baseline Requirements。企业内部私有 CA 签发的证书和其他类型的证书有各自的规则。

Let's Encrypt 的证书有效期是多久？

截至 2026 年 11 月，Let's Encrypt 默认配置仍签发 90 天证书；计划 2027 年 2 月 10 日改为 64 天，2028 年 2 月 16 日改为 45 天。可选的 tlsserver 配置从 2026 年 5 月 13 日起已签发 45 天证书。详见 Let's Encrypt 时间线。

资料来源

  1. CA/Browser Forum: Baseline Requirements FAQ
  2. CA/Browser Forum Ballot 193: 825-day Certificate Lifetimes
  3. Apple: About upcoming limits on trusted certificates
  4. Mozilla Security Blog: Reducing TLS Certificate Lifespans to 398 Days
  5. CA/Browser Forum Ballot SC-081v3
  6. CA/Browser Forum Baseline Requirements
  7. ISRG: From 90 to 45 days