Корпоративные IT-решения

Начиная с февраля 2027 года, Let's Encrypt сократит срок действия сертификатов до 64 дней.

Главный редакторAMP · Быстрое чтение

Let's Encrypt продолжает стремиться к повышению безопасности, сокращая срок действия бесплатных SSL/TLS-сертификатов с 90 до 64 дней, начиная с 10 февраля 2027 года. Для администраторов, уже использующих современные ACME- клиенты, поддерживающие ARI (ACME Renewal Information), это изменение должно пройти незаметно. Для тех, кто по-прежнему использует жестко заданные графики продления или ручные процессы, февраль станет крайним сроком для обновления, прежде чем сертификаты начнут неожиданно истекать.

Начиная с 14 октября, Let's Encrypt начнет тестирование 64-дневных сертификатов, и заинтересованные пользователи смогут принять участие в тестировании своих настроек до запуска в рабочую среду.

До запуска Let's Encrypt в начале 2016 года сертификаты часто выдавались на срок от одного до трех лет. Сервис начал работу с 90-дневными сертификатами, чтобы обеспечить автоматическое продление, которого ранее не существовало. Более короткие сроки действия сертификатов ограничили уязвимости, связанные с кражей закрытых ключей, и способствовали ускоренному внедрению HTTPS в интернете.

Этот шаг в то время пошатнул отраслевые нормы, но, ограничив срок действия сертификатов, удалось снизить вероятность нанесения ущерба в случае их компрометации или ошибочного присвоения. Сокращение срока до 64 дней продолжает эту логику, и с течением времени срок действия сертификатов будет только сокращаться, а в 2028 году планируется установить стандартный срок в 45 дней.

Подобно тому, как первоначальное внедрение Let's Encrypt было направлено на переход пользователей к HTTPS , сокращение сроков действия сертификатов призвано перевести пользователей на полную автоматизацию ACME. Протокол ACME , и, в частности, ARI (ACME Renewal Information), позволяет центру сертификации сообщать клиенту о необходимости обновления. Хотя ARI это делает, во многих развертываниях по-прежнему используются скриптовые интервалы обновления, срабатывающие с фиксированными смещениями, например, «за 60 дней до истечения срока действия».

Let's Encrypt распространяет эту информацию сейчас, чтобы предупредить пользователей о необходимости проверить свои задания cron и сценарии автоматизации , чтобы они автоматически продлевали срок действия сертификатов на две трети от запланированного на 2028 год сокращения срока действия 45-дневных сертификатов.

Что теперь могут делать веб-администраторы?

  • Компания настоятельно рекомендует пользователям искать жестко заданные номера продления, такие как 83, 80 и 60 (ранее распространенные целевые значения для 90-дневных сертификатов), и обновлять их, чтобы продлить сертификат до истечения срока его действия, установленного новым 64-дневным лимитом.

  • Убедитесь, что ваш клиент ACME поддерживает ARI; если нет, обновите скрипты обновления.

  • Убедитесь, что настроены уведомления на случай истечения срока действия сертификата или сбоя при его продлении.

  • Воспользуйтесь возможностью пройти тестирование 14 октября, до официального запуска.

Наряду со сроком действия сертификатов, Let's Encrypt также сокращает время проверки. Периоды повторного использования авторизации сократятся с 30 дней до 10 дней, а к 2028 году — до семи часов. Этот шаг должен устранить необходимость в повторных проверках CAA . Большинство операторов не заметят изменений, если только их клиенты ACME не зависят от кэшированных данных проверки.

Администраторам будет предоставлено около четырех месяцев на тестирование автоматизированных процессов продления подписки до крайнего срока 10 февраля, иначе они рискуют столкнуться с простоем системы по истечении этого срока.