Utvecklarna av projektet Chromium har gjort en ändring, som fastställer den maximala livslängden för TLS-certifikat till 398 dagar (13 månader).

Villkoret gäller för alla offentliga serversertifikat utfärdade efter den 1 september 2020. Om certifikatet inte följer denna regel kommer webbläsaren att avvisa det som ogiltigt och specifikt ge felmeddelandet ERR_CERT_VALIDITY_TOO_LONG.

För certifikat som erhölls före den 1 september 2020 kommer förtroendet att upprätthållas och begränsas till 825 dagar (2,2 år), precis som idag.

Tidigare införde utvecklarna av webbläsarna Firefox och Safari en begränsning för den maximala livslängden för certifikat. Ändringen träder också i kraft den 1 september.

Det innebär att webbplatser som använder SSL/TLS-certifikat med lång livslängd, utfärdade efter gränsdato, kommer att ge sekretessfel i webbläsarna.

Den nya policyn tillkännagavs först av Apple under ett möte på CA/Browser-forumet i februari 2020. Genom att införa den nya regeln har Apple lovat att tillämpa den på alla enheter med iOS och macOS. Det kommer att sätta press på webbplatsadministratörer och utvecklare att deras certifikat uppfyller kraven.

Förkortningen av certifikatens livslängd har diskuterats i flera månader av Apple, Google och andra deltagare i CA/Browser. Denna policy har sina fördelar och nackdelar.

Syftet med detta steg är att öka säkerheten på webbplatsen, genom att säkerställa att utvecklarna använder certifikat med de senaste kryptografiska standarderna och minska antalet gamla, bortglömda certifikat som potentiellt kan stjälas och återanvändas för phishing och drive-by skadliga attacker. Om angripare skulle lyckas bryta kryptografin i SSL/TLS-standarden kommer kortlivade certifikat att möjliggöra för folk att byta till säkrare certifikat ungefär ett år senare.

Förkortningen av certifikatens giltighet har vissa nackdelar. Det har noterats att genom att öka frekvensen av certifikatbyten gör Apple och andra företag också livet lite mer komplicerat för webbplatsägare och företag som måste hantera certifikat och efterlevnad av krav.

Å andra sidan uppmuntrar Let’s Encrypt och andra certifieringscenter webbansvariga att implementera automatiserade procedurer för att uppdatera certifikat. Detta minskar mänskliga kostnader och risken för fel efterhand som frekvensen av certifikatförnyelse ökar.

Som bekant utfärdar Let’s Encrypt gratis HTTPS-certifikat som gäller i 90 dagar och tillhandahåller verktyg för att automatisera förnyelseprocessen. Så nu passar dessa certifikat ännu bättre in i den övergripande infrastrukturen - allt eftersom webbläsarna sätter begränsningar för den maximala giltighetstiden.

Denna förändring röstades fram av medlemmarna i CA/Browser Forum, men beslutet godkändes inte på grund av oenighet bland certifikatutfärdarna..

Resultat

Röstning av certifikatutfärdare

För (11 röster): Amazon, Buypass, Certigna (DHIMYOTIS), certSIGN, Sectigo (fd Comodo CA), eMudhra, Kamu SM, Let’s Encrypt, Logius, PKIoverheid, SHECA, SSL.com
Emot (20): Camerfirma, Certum (Asseco), CFCA, Chunghwa Telecom, Comsign, D-TRUST, DarkMatter, Entrust Datacard, Firmaprofesional, GDCA, GlobalSign, GoDaddy, Izenpe, Network Solutions, OATI, SECOM, SwissSign, TWCA, TrustCor, SecureTrust (fd Trustwave)
Nedlade (2): HARICA, TurkTrust