本博客日IP超过2000，PV 3000 左右，急需赞助商。
极客时间所有课程通过我的二维码购买后返现24元微信红包，请加博主新的微信号：xttblog2，之前的微信号好友位已满，备注：返现
受密码保护的文章请关注“业余草”公众号，回复关键字“0”获得密码
所有面试题(java、前端、数据库、springboot等)一网打尽，请关注文末小程序
【腾讯云】1核2G5M轻量应用服务器50元首年，高性价比，助您轻松上云
很多小企业，以及个人网站，采用的都是 Let’s Encrypt 这类免费证书，各大云厂商也都能友好的支持。
但是，这类免费证书的时效越来越短了。一方面是面临后量子时代的安全问题，另一方面是 AI 也加速了漏洞等方面的攻击。所以，各类证书的寿命都被缩短了。
就在我前几天写免费证书要变天，Cloudflare 申请 CA 资质时，Let’s Encrypt 也没闲着。2026 年 10 月 7 日，全球最大的免费证书颁发机构 Let’s Encrypt 发布公告：自 2027 年 2 月 10 日起，其签发的 SSL/TLS 证书默认有效期将从 90 天缩短至 64 天。而就在今天（10 月 14 日），64 天证书已在其测试环境开放验证。这还只是中间站，2028 年 2 月，默认有效期将进一步压缩到 45 天。
文章配图参见我的公众号：https://mp.weixin.qq.com/s/P55mduX_M2ux7xDa16RY6A。
这几乎意味着，免费证书的“90 天时代”即将终结，Let’s Encrypt 官宣缩至 64 天，2028 年还要砍到 45 天。
证书有效期时间线
这几年 CA 证书的有效期一直在缩短，而且是有迹可循的。下面是 CA 证书有效期的时间线最近几年的变化，供大家参考！
- 2016 年初：Let’s Encrypt 上线，首开 90 天免费证书。此前行业惯例是 1～3 年，它用“短寿命”倒逼当时几乎不存在的自动化续期，直接推动了 HTTPS 的普及。
- 2020 年 9 月：苹果率先把 Safari 信任的证书寿命从 27 个月压到 13 个月，其他浏览器随后跟进，“降寿命”成为行业主线。
- 2025 年 4 月：CA/Browser Forum（CA/B 论坛，制定公网证书技术规范的机构）通过 Ballot SC-081 提案，把公网 TLS 证书的最长有效期分阶段压到 47 天，2027 年 3 月先降到 100 天，2029 年 3 月全行业上限 47 天。
- 2025 年 12 月：Let’s Encrypt 官宣路线图，计划 2028 年把证书有效期减半至 45 天，比行业强制期限还早一年。
- 2026 年 10 月 14 日（今天）：64 天证书登陆 Let’s Encrypt 测试（staging）环境，管理员可以提前验证兼容性。
- 2027 年 2 月 10 日：正式生效。新签发和续期的证书一律 64 天，同时“授权重用期”从 30 天缩到 10 天。
- 2027 年 5 月 11 日：最后一张 90 天证书自然到期（存量证书不会被吊销，平滑过渡）。
- 2028 年 2 月 16 日：默认有效期再降至 45 天，授权重用期只剩 7 小时。
可以看到，Let’s Encrypt 只不过是提前执行了行业制定的 Ballot SC-081 提案规范而已。
为什么要越活越短？
官方给出的理由很直接，缩短证书寿命，就是缩短私钥泄露和错误签发的“暴露窗口”。具体拆开看，有四层逻辑：
- 私钥泄露的风险窗口变小。一张证书用一年，攻击者就有一年的时间去窃取并用它作恶；一张证书只活 45 天，最坏情况也就影响一个半月。
- 对冲吊销机制的失灵。理论上证书出问题可以吊销，但现实中 CRL/OCSP 吊销体系长期形同虚设，很多客户端根本不检查。短寿命证书等于“自动到期即天然吊销”，不依赖任何吊销基础设施。
- 合规要求。CA/B 论坛基线要求是硬约束，所有公网受信 CA 都得照做，Let’s Encrypt 只是先走了一步。
- 倒逼自动化。这其实是 Let’s Encrypt 的基因，它当年用 90 天逼出了 certbot、acme.sh 这一整套 ACME 自动化生态，现在要再逼一次。
- 加强后量子时代的安全性。
很多人，可能对后量子时代的安全性了解不深，其实各方都已经在行动了。Java 最近发布的几个版本中，全部带的都有与后量子时代相关的 JEP，其它语言也类似。同时，不知道大家有没有注意到，今年或者说最近，华为在半导体讨论会上也宣布了，麒麟 9050 系列是第一款为后量子时代考虑并设计的芯片。
这是由于，传统密码体系在量子计算机面前将全面失效，而向新体系的迁移过程本身又极为漫长且充满风险。其中最紧迫的威胁是“先存储、后解密”（Harvest Now, Decrypt Later）。也就是说，即使量子计算机尚未问世，由于一些长期敏感信息（如医疗记录、金融数据、知识产权、政府机密）今天就已经处于风险之中。这类信息往往需要保密数十年，而等待量子计算机成熟再迁移密码体系就太晚了，因为数据可能早已被收集。
提前收集的数据，比如说密码吧，很多人是从不更新密码的，等量子计算到来，直接解密已收集的数据，即可攻破大多数系统。
这次宣布的还有另外一个技术细节，授权重用期同步从 30 天压到 10 天、再到 7 小时，是为了提前对齐 2029 年的验证复用新规，并顺带消除“CAA 重复检查”的麻烦。
行业怎么看
社区的反应并不一边倒。据 daily.dev 的统计，相关讨论中约 35% 支持、15% 中立、50% 质疑。
支持方的观点在于，太多大型组织连证书轮换都做不好，短周期是“强制函数”，逼你把自动化做扎实；而且私钥泄露的风险是真实存在的。
比如，微软中国的证书都失效好久了，还有不少网站使用的证书并不是权威机构的，导致整个互联网上对证书这一块参差不齐。
质疑方的观点也有合理性，这更像浏览器厂商主导的安全剧场，证书本身加密强度没变，运维成本却实实在在地翻倍了，最终是中小站长和运维团队买单。
还有一个无法回避的现实是频率翻倍，故障机会也翻倍。DigiCert 2025 年 7 月的调查（Trust Pulse Survey）显示，45% 的企业在过去一年经历过证书相关宕机，其中 37.5% 直接源于证书过期；近 60% 的组织管理着 1000～10000 张证书，超过一半的人没信心能盯住所有到期时间。90 天时代尚且如此，45 天时代一年要续 12～13 次，手工流程基本宣告出局。
对不同人群的实际影响
每次变更，对不同人群的体感是不同的。
如果你已经在用支持 ARI 的现代 ACME 客户端（certbot 4.1.0+、新版 acme.sh、Caddy、Traefik 等），那么恭喜，理论上零改动。ARI（ACME Renewal Information）会让 CA 主动告诉客户端“什么时候该续期”，客户端自动适配任何证书寿命。
如果你的续期脚本里写死了天数，这是最危险的。90 天证书时代常见的写法是“到期前 30 天续期”，到了 45 天证书时代，那等于证书已经过期 15 天。Let’s Encrypt 官方建议，改为在证书寿命的 约 2/3 处发起续期（64 天证书 ≈ 第 42 天），并给出了排查命令：
# 在 cron 任务、包装脚本和 runbook 里搜这些写死的数字
grep -rnE '\b(83|80|60)\b' /etc/cron* /opt/scripts/ 2>/dev/null如果你是企业运维或平台方，这次调整真正的影响不是“多续几次期”，而是证书管理要从“季度性任务”变成“持续性运营”。连带的变化还有 Let’s Encrypt 自 2026 年起已停发含 TLS 客户端身份验证 EKU 的证书，并弃用 OCSP 改为 CRL 分发；新的 DNS-PERSIST-01 验证方式（DNS 记录只需配置一次、长期复用）预计 2026 年内落地，将大幅降低 DNS-01 验证的自动化门槛。那些靠卖“证书代管服务”吃饭的平台，窗口期也在收窄。
如果你是普通用户，互联网小白。遇到一个网站证书过期了，很可能连网站都打不开，因为浏览器这个鬼东西，提前就给你拦截了。对，证书管理协会和浏览器是气出一孔的，越遵守规范的可能限制的越死。不过嘛，现在是 AI 时代，直接访问网站的机会不多了。
结语
从 3 年到 90 天，再到 64 天、45 天，证书正在从一种“静态资产”变成“动态凭据”。方向上，这几乎不可逆，CA/B 论坛已经在讨论更短寿命的提案，后量子密码迁移也要求证书体系具备快速轮换能力。
对从业者来说，这既是压力也是幸事，工具链（ACME + ARI + 监控）早已成熟，这次调整只是把“该不该自动化”的选择题，彻底变成了“你自动化了吗”的判断题。2027 年 2 月之前，把续期链路跑通，比任何猜测都重要。
这还不是终点，下一个新的提案正在路上。
最后，欢迎关注我的个人微信公众号：业余草（yyucao）！可加作者微信号：xttblog2。备注：“1”，添加博主微信拉你进微信群。备注错误不会同意好友申请。再次感谢您的关注！后续有精彩内容会第一时间发给您！原创文章投稿请发送至532009913@qq.com邮箱。商务合作也可添加作者微信进行联系！