A Autoridade Certificadora sem fins lucrativos Let’s Encrypt, controlada pela comunidade e que oferece certificados gratuitamente a todos os interessados, anunciou sua decisão de reduzir gradualmente a validade dos certificados TLS emitidos de 90 para 45 dias. Em 10 de fevereiro de 2027, a validade dos certificados será reduzida para 64 dias, e em 16 de fevereiro de 2028 — para 45 dias. A possibilidade opcional de obter certificados válidos por 45 dias se tornará disponível em 13 de maio de 2026.
Simultaneamente, o período de validade da autorização também será reduzido — em 10 de fevereiro de 2027, será reduzido de 30 para 10 dias, e em 16 de fevereiro de 2028 — de 10 dias para 7 horas. Por período de validade da autorização, entende-se o tempo após a confirmação de direitos. o domínio, durante o qual o certificado pode ser emitido sem a necessidade de novas verificações. Após o término desse período, uma nova confirmação de direitos é necessária.
Como motivo para a redução da validade dos certificados, são mencionadas novas exigências da associação CA/Browser Forum, que devem ser seguidas por fabricantes de navegadores e autoridades certificadoras. Uma redução semelhante na validade será implementada por todas as autoridades certificadoras. O CA/Browser Forum estabeleceu o prazo final para a implementação até março de 2029, e o tempo máximo de validade do certificado — de 47 dias. Após março de 2029, o processamento nos navegadores de novos certificados com validade superior a 47 dias resultará em erros "ERR_CERT_VALIDITY_TOO_LONG".
Entre as vantagens da transição para certificados de curta duração, destaca-se a possibilidade de diminuir o tempo de implementação de novos algoritmos criptográficos caso sejam identificadas vulnerabilidades nos algoritmos atualmente em uso, além do aumento da segurança. Por exemplo, no caso de uma fuga oculta de um certificado devido a uma invasão, certificados de curta validade impedirão que atacantes controlem o tráfego da vítima por um longo período ou usem os certificados para phishing. Verificações mais frequentes de posse de domínio e a redução dos prazos de validade dos certificados também diminuirão a probabilidade de que um certificado continue em vigor após a perda de relevância das informações contidas nele, reduzindo assim o risco de disseminação de certificados emitidos incorretamente.
Devido à redução na validade dos certificados, a Let’s Encrypt recomendou que os usuários não atualizem os certificados manualmente, mas que adotem sistemas automáticos de gestão de certificados. Os usuários que já utilizam sistemas automatizados devem se certificar de que suas ferramentas suportam corretamente os certificados com o prazo reduzido. Para coordenar a atualização automática oportuna dos certificados, os administradores podem usar a extensão do protocolo ARI (ACME Renewal Information), que permite obter informações sobre a necessidade de atualização dos certificados e escolher o momento ideal para a atualização. Também é recomendável configurar um sistema de monitoramento para identificar situações em que o certificado não foi atualizado a tempo.
Para simplificar a validação de direitos sobre o domínio, o projeto Let’s Encrypt planeja implementar em 2026 um novo método de verificação DNS-PERSIST-01, que, ao contrário dos métodos HTTP-01 e DNS-01, não exige a atualização das informações a cada verificação nem que o cliente ACME tenha acesso à infraestrutura web ou ao servidor DNS. No PERSIST-01, é suficiente adicionar uma determinada entrada TXT no DNS uma única vez ('_validation-persist.example.com. IN TXT ("ca.example;" "accounturi=https://ca.example/acct/123")') e o cliente ACME poderá realizar a autorização sem a necessidade de atualizar os dados no DNS.
Fonte: opennet.ru
