Let's Encrypt kommer att minska certifikatens giltighetstid till 45 dagar

Den ideella certifikatutfärdaren Let’s Encrypt, som kontrolleras av gemenskapen och erbjuder certifikat kostnadsfritt till alla intresserade, har meddelat att man stegvis kommer att minska giltighetstiden för utfärdade TLS-certifikat från 90 till 45 dagar. Den 10 februari 2027 kommer giltighetstiden för certifikaten att minskas till 64 dagar, och den 16 februari 2028 till 45 dagar. Möjligheten att få certifikat med en giltighetstid på 45 dagar kommer att finnas från och med den 13 maj 2026.

Samtidigt kommer giltighetstiden för auktorisation att minskas stegvis — den 10 februari 2027 kommer den att reduceras från 30 till 10 dagar, och den 16 februari 2028 från 10 dagar till 7 timmar. Med giltighetstiden för auktorisation avses den tid efter bekräftelse av rättigheterna till domänen, under vilken certifikatet kan utfärdas utan att behöva genomgå nya kontroller. Efter att denna tid har löpt ut krävs en ny bekräftelse av rättigheterna.

Som anledning till minskningen av certifikats giltighetstid anges nya krav från CA/Browser Forum, som tillverkare av webbläsare och certifikatutfärdare måste följa. En liknande minskning av giltighetstiden kommer att genomföras av samtliga certifikatutfärdare. CA/Browser Forum har fastställt att den sista tidsfristen för att slutföra genomförandet är mars 2029, och den maximala giltighetstiden för certifikat är 47 dagar. Efter mars 2029 kommer behandling av nya certifikat i webbläsare vars giltighetstid överstiger 47 dagar att leda till felmeddelanden som ”ERR_CERT_VALIDITY_TOO_LONG”.

Bland fördelarna med att övergå till kortvariga certifikat nämns möjligheten att minska tiden för implementering av nya kryptovalutor vid identifiering av sårbarheter i aktuella protokoll, samt ökad säkerhet. Till exempel, i händelse av en obemärkt läcka av certifikatet på grund av ett intrång, kommer kortlivade certifikat att förhindra att angripare långvarigt kan kontrollera offrets trafik eller använda certifikatet för phishing. Oftare kontrollering av domäninnehav och kortare giltighetstider för certifikat kommer också att minska sannolikheten för att certifikatet fortsätter vara giltigt efter att informationen i det har blivit irrelevant och minska risken för spridning av felaktigt utfärdade certifikat.

På grund av den förkortade giltighetstiden för Let’s Encrypt-certifikat rekommenderar de användare att inte uppdatera certifikat manuellt, utan att övergå till automatiska certifikathanteringssystem. Användare som redan använder automatiserade system bör se till att deras verktyg korrekt stöder certifikat med förkortad giltighetstid. För att koordinera en tidsenlig automatisk uppdatering av certifikat kan administratörer använda den utvidgade protokollet ARI (ACME Renewal Information), som gör det möjligt att få information om behovet av att uppdatera certifikat och välja optimal tidpunkt för uppdatering. Det kan också vara en bra idé att ställa in ett övervakningssystem för att identifiera situationer där certifikatet inte har uppdaterats i tid.

För att förenkla bekräftelsen av domänrättigheter planerar projektet Let’s Encrypt att införa en ny metod för DNS-bekräftelse kallad DNS-PERSIST-01 år 2026, som till skillnad från metoderna HTTP-01 och DNS-01 inte kräver uppdatering av information vid varje kontroll och att ACME-klienten har tillgång till webbinfrastruktur eller DNS-server. I PERSIST-01 räcker det med att lägga till en specifik TXT-post i DNS en gång (‘_validation-persist.example.com. IN TXT («ca.example;» » accounturi=https://ca.example/acct/123″)’) så kan ACME-klienten genomföra auktorisering utan att behöva uppdatera data i DNS.

Källa: opennet.ru