新聞

公開TLS憑證效期近年持續朝縮短方向發展，Let's Encrypt於10月7日宣布，自2027年2月10日起，預設TLS憑證效期將由目前的90天縮短為64天，後續還將進一步縮短。這項漸進式調整，主要是為了縮短金鑰外洩或憑證誤簽後的風險暴露時間。

為了讓網站與系統管理人員提前測試，Let's Encrypt將自10月14日起先在staging環境簽發64天憑證，供其檢查既有續期與部署流程是否能正常運作。Let's Encrypt表示，這項調整對已完成自動續期者影響相對有限，若憑證續期已自動化，且使用的ACME用戶端支援ACME Renewal Information（ARI），通常不需額外調整，因為ARI可由Let's Encrypt告知用戶端適當的續期時間。

不過，若現有續期機制是以距離到期日的固定天數設定，就需要重新檢視。Let's Encrypt建議，應改為在憑證生命週期約三分之二時進行續期，並檢查cron job、wrapper script或runbook中是否存在83、80、60天等固定數值，以免憑證效期縮短後未能及時更新。

根據Let's Encrypt先前的規畫，預計2028年還會將TLS憑證的預設效期進一步降至45天。此外，除了縮短憑證效期，Let's Encrypt也將縮短網域驗證授權的重複使用期限（authorization reuse period），由目前的30天降為10天，2028年再進一步縮短至7小時。

Let's Encrypt也建議，網站與系統管理人員應趁這波調整重新檢視整體憑證管理流程，例如將憑證部署、服務重新載入等作業自動化，並建立續期失敗的監控與警示機制。