Desenvolvedores do projeto Chromium fizeram uma alteração, que estabelece o prazo máximo de vida dos certificados TLS em 398 dias (13 meses).

A condição se aplica a todos os certificados de servidor público emitidos após 1º de setembro de 2020. Se um certificado não estiver em conformidade com essa regra, o navegador o rejeitará como inválido, especificamente retornando o erro ERR_CERT_VALIDITY_TOO_LONG.

Para os certificados recebidos até 1º de setembro de 2020, a confiança será mantida e limitada a 825 dias (2,2 anos), como acontece atualmente.

Anteriormente, a limitação do prazo máximo de validade dos certificados foi implementada pelos desenvolvedores dos navegadores Firefox e Safari. A alteração também entra em vigor em 1º de setembro.

Isso significa que sites que utilizam certificados SSL/TLS com prazos de validade longos, emitidos após o limite, apresentarão erros de privacidade nos navegadores.

A nova política foi anunciada primeiro pela Apple em uma reunião do fórum CA/Browser em fevereiro de 2020. Ao implementar a nova regra, a Apple prometeu aplicar isso em todos os dispositivos iOS e macOS. Isso pressionará administradores de sites e desenvolvedores a garantir que seus certificados atendam aos requisitos.

A redução do prazo de validade dos certificados tem sido discutida por vários meses entre a Apple, Google e outros participantes do CA/Browser. Esta política tem suas vantagens e desvantagens.

O objetivo desse passo é aumentar a segurança do site, garantindo que os desenvolvedores usem certificados com os mais recentes padrões criptográficos, e reduzir a quantidade de certificados antigos e esquecidos, que podem ser potencialmente roubados e reutilizados para phishing e ataques maliciosos por meio de downloads. Se os criminosos conseguissem quebrar a criptografia do padrão SSL/TLS, certificados de curta duração permitiriam que as pessoas migrassem para certificados mais seguros em cerca de um ano.

A redução do período de validade dos certificados tem algumas desvantagens. Foi observado que, ao aumentar a frequência de substituição dos certificados, a Apple e outras empresas também complicam um pouco a vida dos proprietários de sites e das empresas que precisam gerenciar certificados e conformidade.

Por outro lado, o Let's Encrypt e outros centros de certificação incentivam os desenvolvedores da web a implementar procedimentos automatizados para a atualização de certificados. Isso reduz as despesas operacionais humanas e o risco de erros à medida que a frequência de substituição de certificados aumenta.

Como é sabido, o Let's Encrypt emite certificados HTTPS gratuitos, com validade de 90 dias, e fornece ferramentas para automatizar a renovação. Agora, esses certificados se encaixam ainda melhor na infraestrutura geral — à medida que os navegadores estabelecem um limite para o período máximo de validade.

Essa mudança foi submetida a votação pelos membros da associação CA/Browser Forum, mas a decisão não foi aprovada devido ao desacordo entre os centros de certificação..

Resultados

Votação dos emissoras de certificados

A favor (11 votos): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (anteriormente Comodo CA), eMudhra, Kamu SM, Let's Encrypt, Logius, PKIoverheid, SHECA, SSL.com
Contra (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (anteriormente Trustwave)
Abstenções (2): HARICA, TurkTrust