Chromium projekti arendajad tehti muudatus, mis määrab TLS-sertifikaatide maksimaalse kehtivusaja 398 päevale (13 kuud).

See tingimus kehtib kõikide avalike serveri sertifikaatide kohta, mis on välja antud pärast 1. septembrit 2020. Kui sertifikaat ei vasta sellele reeglile, siis brauser lükkab selle tagasi kui kehtetu ning annab konkreetse veateate ERR_CERT_VALIDITY_TOO_LONG.

1. septembrist 2020. aastast varem välja antud sertifikaatide puhul jääb usaldus alles ning on piiratud 825 päevaga (2,2 aastat), nagu praegu.

Varasemaid piiranguid sertifikaatide maksimaalsele kehtivusajale on kehtestanud brauserid Firefox ja Safari. Muudatus kehtib samuti 1. septembrist.

See tähendab, et veebilehed, mis kasutavad pikema kehtivusajaga SSL/TLS sertifikaate, mis on välja antud lõppkuupäeva järel, hakkavad brauserites andma konfidentsiaalsusvigu.

Uue poliitika kuulutas esimesena välja Apple CA/Brauseri foorumi kohtumisel 2020. aasta veebruaris. Uue reegli rakendamisel lubas Apple seda rakendada kõikidel iOS ja macOS seadmetel. See avaldab survet veebilehtede haldajatele ja arendajatele, et nende sertifikaadid vastaksid nõuetele.

Sertifikaatide kehtivusaja lühendamine on olnud arutelul Apple'i, Google'i ja teiste CA/Brauseri osaliste seas juba mitu kuud. Sellel poliitikal on omad plusse ja miinuseid.

Selle sammu eesmärk on suurendada veebilehtede turvalisust, veendudes, et arendajad kasutavad uusimaid krüptograafilisi standardeid, ja vähendada vana, unustatud sertifikaatide hulka, mis võivad potentsiaalselt olla varastatud ja uuesti kasutatud kalastamise ja pahavara ründamiseks. Kui kurjategijad suudavad murda SSL/TLS krüptograafiat, siis lühiajalised sertifikaadid võimaldavad üleminekut turvalisematele sertifikaatidele umbes aasta jooksul.

Sertifikaatide kehtivusaja lühendamisel on mõned miinused. On märkmeid, et suurendades sertifikaatide vahetamise sagedust, muudavad Apple ja teised ettevõtted ka veidi keerulisemaks saitide omanikke ja ettevõtteid, kellel tuleb hallata sertifikaate ja järgida nõudeid.

Teisest küljest innustavad Let’s Encrypt ja teised sertifitseerimiskeskused veebihaldureid rakendama automatiseeritud protseduure sertifikaatide uuendamiseks. See vähendab inimeste töötunde ja vigade riski sertifikaatide asendamise sageduse suurenedes.

Kuidas teada, siis annab Let’s Encrypt välja tasuta HTTPS-sertifikaate, mille kehtivusaeg on 90 päeva ja pakub automatiseerimise tööriistu pikendamiseks. Nii sobivad need sertifikaadid veel paremini kogu infrastruktuuri — kuna brauserid kehtestavad maksimumkehtivuse piirangu.

See muudatus viidi CA/Browser Foorumi liikmete hääletusele, kuid otsus ei saanud kinnitust, kuna sertifitseerimiskeskuste seas oli erimeelsusi..

tulemused näitasid ainult nelja ebaolulise koodibloki kattuvust, mis olid tingitud POSIX ja ANSI C nõuetest.

Sertifikaatide väljaandjate hääletus

Jah (11 häält): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (endine Comodo CA), eMudhra, Kamu SM, Let’s Encrypt, Logius, PKIoverheid, SHECA, SSL.com
Vastu (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (endine Trustwave)
Vältinud (2): HARICA, TurkTrust