Det non-kommercielle certifikatcenter Let's Encrypt, der styres af fællesskabet, og som gratis tilbyder certifikater til alle interesserede, har annonceret en beslutning om gradvist at reducere gyldigheden af de udstedte TLS-certifikater fra 90 til 45 dage. Den 10. februar 2027 vil gyldigheden af certifikaterne blive reduceret til 64 dage, og den 16. februar 2028 til 45 dage. Den valgfri mulighed for at få certifikater, der er gyldige i 45 dage, vil være tilgængelig fra den 13. maj 2026.
Samtidig vil autorisationsperioden også blive gradvist forkortet — den 10. februar 2027 vil den blive reduceret fra 30 til 10 dage, og den 16. februar 2028 fra 10 dage til 7 timer. Med autorisationsperioden forstås den tid, der er til rådighed efter bekræftelsen af ens rettigheder til domæne, i hvilken periode certifikatet kan udstedes uden gentagne kontroller. Efter udløbet af denne tid kræves der en ny bekræftelse af rettighederne.
Som årsag til forkortelsen af certifikaternes gyldighed nævnes nye krav fra CA/Browser Forum, som producenterne af browsere og certifikatcentre skal følge. En tilsvarende forkortelse af gyldigheden vil blive implementeret af alle certifikatcentre. CA/Browser Forum har fastsat en endelig deadline for implementeringen til marts 2029, og den maksimale gyldighedsperiode for certifikaterne vil være 47 dage. Efter marts 2029 vil behandling i browsere af nye certifikater med en gyldighedsperiode, der overstiger 47 dage, resultere i fejlmeddelelsen "ERR_CERT_VALIDITY_TOO_LONG".
Blandt fordelene ved at overgå til kortvarige certifikater nævnes muligheden for hurtigere implementering af nye kryptografiske algoritmer i tilfælde af opdagelse af sårbarheder i de nuværende, samt øget sikkerhed. For eksempel, hvis et certifikat utilsigtet lækkes som følge af et hack, vil korttidscertifikater forhindre angrebere i at opretholde kontrol over offerets trafik i lang tid eller bruge certifikater til phishing. Hyppigere kontrol af domæneejerskab og reducerede gyldighedsperioder for certifikater vil også mindske risikoen for, at et certifikat fortsætter med at være gyldigt efter at oplysningerne i det er blevet forældede, samt reducere risikoen for spredning af fejlagtigt udstedte certifikater.
Som følge af den forkortede udløbstid for Let’s Encrypt-certifikater, anbefaler de brugerne ikke at opdatere certifikater manuelt, men at overgå til automatiske certifikatstyringssystemer. Brugere, der allerede anvender automatiserede systemer, skal sikre sig, at deres værktøjer korrekt understøtter certifikater med forkortet udløbstid. For at koordinere rettidige automatiske opdateringer af certifikater kan administratorer bruge ARI-protokollens udvidelse (ACME Renewal Information) til at få information om, hvornår certifikater skal opdateres, og vælge det optimale tidspunkt for opdatering. Det giver også mening at opsætte et overvågningssystem for at opdage situationer, hvor certifikatet ikke blev opdateret rettidigt.
For at forenkle bekræftelsen af ejerskab til domæner planlægger Let’s Encrypt at implementere en ny metode til DNS-verifikation, kaldet DNS-PERSIST-01, i 2026. Denne metode kræver i modsætning til HTTP-01 og DNS-01 ikke en opdatering af oplysninger hver gang en kontrol udføres, eller at ACME-klienten har adgang til webinfrastrukturen eller DNS-serveren. I PERSIST-01 er det tilstrækkeligt at tilføje en bestemt TXT-post i DNS én gang (‘_validation-persist.example.com. IN TXT (
Kilde: opennet.ru
