# SSL/TLS 证书时间线：有效期、Let's Encrypt、根证书计划

> 按日期整理、注明来源的 TLS 证书规则变化：最长有效期（200→100→47 天）、Let's Encrypt 的调整，以及浏览器根证书计划的决定。

Source: https://ssl.sh/zh/timeline/
Last updated: 2026-11-10

所有影响证书能用多久、浏览器信任哪些 CA、Let's Encrypt 签发什么证书的日期，都按官方来源核对，并标明已生效还是即将生效。

## 要点

- 2026 年 3 月 15 日起签发的公网 TLS 证书最长 200 天；2027 年 3 月 15 日起降到 100 天，2029 年 3 月 15 日起降到 47 天。
- Let's Encrypt 默认证书 2027 年 2 月 10 日从 90 天改为 64 天，2028 年 2 月 16 日改为 45 天。
- Chrome 要求 2027 年 3 月 15 日起签发的用户证书只能包含 serverAuth 扩展密钥用途，并移除密钥超过 15 年的根证书。
- 从 2026 年 12 月 15 日起，CA 必须至少从 5 个远程网络视角确认域名验证结果（MPIC）。

## [证书有效期时间线](https://ssl.sh/zh/timeline/certificate-validity/)

公网 TLS 证书最长有效期按签发日期执行：2026 年 3 月 15 日起 200 天，2027 年 3 月起 100 天，2029 年 3 月起 47 天（SC-081v3）。

## [Let's Encrypt 时间线](https://ssl.sh/zh/timeline/lets-encrypt/)

按日期梳理 Let's Encrypt 的变化：2025 年 8 月关闭 OCSP、停发到期邮件、6 天和 IP 证书、2027 年 64 天、2028 年 45 天证书。

## [根证书计划变化](https://ssl.sh/zh/timeline/root-program-changes/)

按日期整理浏览器不信任 Symantec、Entrust、中华电信、NetLock、eMudhra 的经过，以及 Chrome 专用 TLS 层级、根证书年限和 CT 规则。

## 即将生效的变化 (2026 年 11 月 10 日)

- 2026 年 11 月 12 日: DigiCert 默认改由 G5 TLS 根证书签发 — https://ssl.sh/zh/timeline/root-program-changes/#e-2026-11-12
- 2026 年 11 月 16 日: Chrome 不再信任 emSign Root CA - G1 新证书 — https://ssl.sh/zh/timeline/root-program-changes/#e-2026-11-16
- 2026 年 12 月 15 日: MPIC：至少 5 个远程视角 — https://ssl.sh/zh/timeline/root-program-changes/#e-2026-12-15
- 2027 年 2 月 10 日: Let's Encrypt 默认证书缩短到 64 天 — https://ssl.sh/zh/timeline/certificate-validity/#e-2027-02-10
- 2027 年 2 月 10 日: 默认证书改为 64 天，授权复用 10 天 — https://ssl.sh/zh/timeline/lets-encrypt/#e-2027-02-10
- 2027 年 3 月 15 日: 最长 100 天；域名验证可复用 100 天 — https://ssl.sh/zh/timeline/certificate-validity/#e-2027-03-15
- 2027 年 3 月 15 日: Chrome：叶子证书只能是 serverAuth — https://ssl.sh/zh/timeline/root-program-changes/#e-2027-03-15
- 2027 年 4 月 15 日: 下一批 15 年根证书移除（2008–2009 年密钥） — https://ssl.sh/zh/timeline/root-program-changes/#e-2027-04-15
- 2027 年 9 月 15 日: Chrome 每个 CA 最多两个根证书 — https://ssl.sh/zh/timeline/root-program-changes/#e-2027-09-15
- 2028 年 2 月 16 日: Let's Encrypt 默认证书缩短到 45 天 — https://ssl.sh/zh/timeline/certificate-validity/#e-2028-02-16
- 2028 年 2 月 16 日: 默认证书改为 45 天，授权复用 7 小时 — https://ssl.sh/zh/timeline/lets-encrypt/#e-2028-02-16
- 2029 年 3 月 15 日: 最长 47 天；域名验证只能复用 10 天 — https://ssl.sh/zh/timeline/certificate-validity/#e-2029-03-15

## 常见问题

### 每个事件“已生效 / 即将生效”是怎么判断的？

事件日期早于或等于页面生成日期就标为已生效，否则标为即将生效。页面会定期重新生成，每条时间线顶部都写明了计算状态所用的日期。

### 这些日期的来源是什么？

只用一手来源：CA/浏览器论坛的投票和 Baseline Requirements、Chrome 根证书计划政策、谷歌、Mozilla 和苹果的公告，以及 Let's Encrypt / ISRG 的官方文章。每个事件都附有来源链接。