# TLS 证书有效期时间线：398→200→100→47 天 > 公网 TLS 证书最长有效期按签发日期执行：2026 年 3 月 15 日起 200 天，2027 年 3 月起 100 天，2029 年 3 月起 47 天（SC-081v3）。 Source: https://ssl.sh/zh/timeline/certificate-validity/ Last updated: 2026-11-10 从 2026 年 3 月 15 日起，新签发的公网信任 TLS 证书最长只能用 200 天。按照 CA/浏览器论坛的 SC-081v3 投票，2027 年 3 月降到 100 天，2029 年 3 月降到 47 天，届时域名验证结果也只能复用 10 天。 状态按 2026 年 11 月 10 日 计算 ## 要点 - 从 2026 年 3 月 15 日起，公网信任的 TLS 证书最长有效期为 200 天（CA/浏览器论坛 SC-081v3 投票）。 - 2027 年 3 月 15 日起签发的证书最长 100 天，2029 年 3 月 15 日起签发的证书最长 47 天。 - 域名验证（DCV）结果的复用期：2026 年 3 月 15 日起 200 天，2027 年 3 月 15 日起 100 天，2029 年 3 月 15 日起只有 10 天。 - 这些上限按签发日期执行：截止日之前签发的证书按原有效期到期，不需要提前更换。 - 最长有效期在 2012 年是 60 个月，2015 年 39 个月，2018 年 825 天，2020 年 9 月 1 日起 398 天。 ## 时间线 ### 2012 年 7 月 1 日 — Baseline Requirements 生效：最长 60 个月（已生效） CA/浏览器论坛的 [Baseline Requirements](https://ssl.sh/zh/glossary/baseline-requirements/) 成为公网 CA 的共同规则。2012 年 7 月 1 日之后签发的证书最长有效期为 60 个月。 影响谁：所有公网 CA，以及向它们购买证书的网站。 来源：[CA/Browser Forum: Baseline Requirements FAQ](https://cabforum.org/working-groups/server/baseline-requirements/faq/) ### 2015 年 4 月 1 日 — 最长有效期降到 39 个月（已生效） 2015 年 4 月 1 日之后签发的证书最长有效期为 39 个月，5 年期 TLS 证书从此退出。 影响谁：CA，以及购买多年期证书的用户。 来源：[CA/Browser Forum: Baseline Requirements FAQ](https://cabforum.org/working-groups/server/baseline-requirements/faq/) ### 2018 年 3 月 1 日 — 最长 825 天（第 193 号投票）（已生效） 2017 年 3 月通过的第 193 号投票规定，2018 年 3 月 1 日之后签发的证书最长 825 天（约 27 个月）。 影响谁：CA，以及购买两年、三年期证书的用户。 来源：[CA/Browser Forum Ballot 193: 825-day Certificate Lifetimes](https://cabforum.org/2017/03/17/ballot-193-825-day-certificate-lifetimes/) ### 2020 年 9 月 1 日 — 浏览器强制执行 398 天上限（已生效） 苹果率先、谷歌和 Mozilla 随后宣布：2020 年 9 月 1 日及之后签发、有效期超过 398 天的证书一律不信任。CA/浏览器论坛在 2020 年 7 月通过 SC31 投票，把这一上限写入 Baseline Requirements。此后一年期证书成为主流。 影响谁：所有使用公网证书的网站；两年期证书从此停售。 来源：[Apple: About upcoming limits on trusted certificates](https://support.apple.com/en-us/102028); [Mozilla Security Blog: Reducing TLS Certificate Lifespans to 398 Days](https://blog.mozilla.org/security/2020/07/09/reducing-tls-certificate-lifespans-to-398-days/) ### 2025 年 4 月 11 日 — SC-081v3 投票通过：200 天、100 天，最终 47 天（已生效） CA/浏览器论坛服务器证书工作组通过了由苹果提出的 SC-081v3 投票（2025 年 4 月 11 日投票结束：证书签发方 25 票赞成、0 票反对、5 票弃权；证书使用方 4 票赞成）。它给出了分阶段时间表：最长有效期降到 200、100、47 天，域名验证复用期降到 200、100、10 天。 影响谁：所有公网 TLS CA，以及所有还在手动续期证书的单位。 来源：[CA/Browser Forum Ballot SC-081v3](https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/) ### 2026 年 3 月 15 日 — 最长 200 天；域名验证可复用 200 天（已生效） 2026 年 3 月 15 日及之后签发的证书最长 200 天，CA 复用[域名验证](https://ssl.sh/zh/glossary/dcv/)结果最多 200 天（原为 398 天）。同一天起，不需要吊销信息的[短期证书](https://ssl.sh/zh/glossary/short-lived-certificate/)指有效期 7 天及以下的证书。 影响谁：购买一年期证书的用户：买一年，中途至少要重签一次。 来源：[CA/Browser Forum Baseline Requirements](https://cabforum.org/working-groups/server/baseline-requirements/requirements/); [CA/Browser Forum Ballot SC-081v3](https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/) ### 2026 年 5 月 13 日 — Let's Encrypt tlsserver 配置改签 45 天证书（已生效） Let's Encrypt 可选的 tlsserver ACME 配置开始签发 45 天证书，先于默认配置调整。 影响谁：明确请求 tlsserver 配置的 ACME 客户端。 来源：[ISRG: From 90 to 45 days](https://isrg.org/post/from-90-to-45/) ### 2027 年 2 月 10 日 — Let's Encrypt 默认证书缩短到 64 天（即将生效） Let's Encrypt 默认的 classic 配置计划改为签发 64 天证书，授权（域名验证）复用期缩短到 10 天。 影响谁：大多数 Let's Encrypt 用户（certbot、acme.sh、宝塔等面板和使用默认配置的托管商）。 来源：[ISRG: From 90 to 45 days](https://isrg.org/post/from-90-to-45/) ### 2027 年 3 月 15 日 — 最长 100 天；域名验证可复用 100 天（即将生效） 2027 年 3 月 15 日及之后签发的证书最长 100 天，域名验证结果最多复用 100 天。 影响谁：所有还在手动续期的用户：每年约要续 4 次。 来源：[CA/Browser Forum Baseline Requirements](https://cabforum.org/working-groups/server/baseline-requirements/requirements/) ### 2028 年 2 月 16 日 — Let's Encrypt 默认证书缩短到 45 天（即将生效） Let's Encrypt 的 classic 配置计划改为签发 45 天证书，授权复用期缩短到 7 小时，几乎每次续期都要重新验证域名。 影响谁：所有使用默认配置的 Let's Encrypt 用户；续期时间应按 [ARI](term:ari) 决定，不要写死 60 天。 来源：[ISRG: From 90 to 45 days](https://isrg.org/post/from-90-to-45/) ### 2029 年 3 月 15 日 — 最长 47 天；域名验证只能复用 10 天（即将生效） 2029 年 3 月 15 日及之后签发的证书最长 47 天，域名验证结果最多复用 10 天。到这一步，手动续期基本不现实，参见 [47 天证书](https://ssl.sh/zh/learn/47-day-certificates/)。 影响谁：所有使用公网 TLS 证书的单位，尤其是难以自动化的硬件设备、负载均衡和 CDN。 来源：[CA/Browser Forum Baseline Requirements](https://cabforum.org/working-groups/server/baseline-requirements/requirements/) ## 常见问题 ### 新上限生效那天，我手上的证书要马上换吗？ 不用。上限只约束生效日及之后签发的证书。比如 2026 年 3 月 14 日签发的 398 天证书，照样用到它自己的到期日；只是下一张证书最长只能签 200 天。 ### 为什么要不断缩短证书有效期？ 有效期越短，误签的证书或泄露的私钥能被滥用的时间越短；域名验证信息也更新得更及时；同时逼着大家把续期自动化，以后要整体更换证书或算法时才换得动。证书吊销检查一直不够可靠，单靠吊销解决不了这些问题。 ### 2029 年以后，是不是每 10 天就要验证一次域名？ CA 上一次域名验证超过 10 天就必须重新验证，实际上就是每次续期都要重新验证一遍。用 [ACME](https://ssl.sh/zh/glossary/acme/) 自动化（HTTP-01、DNS-01 或 TLS-ALPN-01）时这一步自动完成；靠邮件、手动上传文件验证的方式会非常吃力。用阿里云、腾讯云 DNS 或 DNSPod 的，可以用 DNS API 做 DNS-01 自动验证。 ### 私有 CA、代码签名证书、S/MIME 邮件证书也受影响吗？ 不受影响。SC-081v3 修改的是公网信任 TLS 服务器证书的 Baseline Requirements。企业内部[私有 CA](https://ssl.sh/zh/glossary/private-ca/) 签发的证书和其他类型的证书有各自的规则。 ### Let's Encrypt 的证书有效期是多久？ 截至 2026 年 11 月，Let's Encrypt 默认配置仍签发 90 天证书；计划 2027 年 2 月 10 日改为 64 天，2028 年 2 月 16 日改为 45 天。可选的 tlsserver 配置从 2026 年 5 月 13 日起已签发 45 天证书。详见 [Let's Encrypt 时间线](https://ssl.sh/zh/timeline/lets-encrypt/)。