Wprowadzenie do problemu / definicja
Let’s Encrypt zapowiedział skrócenie domyślnego okresu ważności nowo wydawanych certyfikatów TLS do 64 dni. Zmiana ma wejść w życie 10 lutego 2027 roku i stanowi etap przejściowy przed planowanym wdrożeniem 45-dniowych certyfikatów w 2028 roku. Dla administratorów, zespołów DevOps oraz operatorów usług internetowych oznacza to konieczność dostosowania procesów odnawiania, walidacji i monitorowania certyfikatów HTTPS.
W skrócie
Nowe i odnawiane certyfikaty Let’s Encrypt będą domyślnie ważne 64 dni zamiast 90 dni. Ostatnie certyfikaty wystawione na 90 dni mają wygasnąć 11 maja 2027 roku. Organizacja udostępnia również testy w środowisku staging, aby użytkownicy mogli sprawdzić, czy ich automatyzacja poprawnie działa w krótszym cyklu życia certyfikatów.
- od 10 lutego 2027 roku domyślna ważność certyfikatu spadnie do 64 dni,
- docelowo w 2028 roku Let’s Encrypt planuje przejście do 45-dniowych certyfikatów,
- skrócony zostanie także okres ponownego użycia autoryzacji domeny,
- największe znaczenie zyskają poprawnie wdrożone procesy automatycznego odnawiania.
Kontekst / historia
Skracanie życia certyfikatów publicznie zaufanych jest częścią szerszego trendu w ekosystemie PKI. Celem takich zmian jest ograniczenie czasu, w którym przejęty, błędnie wystawiony lub nieprawidłowo używany certyfikat może pozostawać aktywny. Krótszy okres ważności zmniejsza także zależność od klasycznych mechanizmów unieważniania, które historycznie nie zawsze działały wystarczająco skutecznie w praktyce operacyjnej.
Decyzja Let’s Encrypt wpisuje się w ewolucję wymagań dla publicznych urzędów certyfikacji. Oznacza to, że organizacje nie powinny traktować tej zmiany jako odosobnionej decyzji jednego dostawcy, lecz jako sygnał dalszego zaostrzania standardów bezpieczeństwa w obszarze TLS i zarządzania zaufaniem w internecie.
Analiza techniczna
Najważniejsza zmiana dotyczy skrócenia domyślnego czasu życia certyfikatu z 90 do 64 dni. W środowiskach, które korzystają z dojrzałej automatyzacji ACME, wpływ operacyjny powinien być ograniczony. Problem może pojawić się jednak tam, gdzie harmonogram odnowienia opiera się na sztywnych założeniach, starszych skryptach lub ręcznych procedurach.
Istotne znaczenie ma obsługa mechanizmu ACME Renewal Info, który pozwala klientom dynamicznie otrzymywać informację o zalecanym terminie odnowienia. Taki model zmniejsza ryzyko błędów wynikających z ręcznego planowania i pomaga lepiej dostosować cykl odnowień do aktualnych parametrów certyfikatu. W systemach bez tej funkcji rozsądnym podejściem pozostaje inicjowanie odnowienia po wykorzystaniu około dwóch trzecich okresu ważności.
Let’s Encrypt zapowiada również skrócenie okresu ponownego użycia autoryzacji. Najpierw ma on zostać ograniczony do 10 dni, a następnie do siedmiu godzin w 2028 roku. Technicznie oznacza to silniejsze powiązanie procesu walidacji domeny z samym wystawieniem certyfikatu, co ogranicza możliwość nadużycia historycznych danych potwierdzających kontrolę nad domeną.
Jednocześnie zmiana nie ma obejmować endpointów ACME, łańcuchów wydawania ani limitów rate limiting. Stabilna pozostaje więc podstawowa architektura integracji, natomiast dostosowania będą wymagane głównie po stronie automatyzacji odnowień, monitoringu i walidacji.
Konsekwencje / ryzyko
Dla organizacji z dobrze wdrożoną automatyzacją krótsze życie certyfikatów oznacza przede wszystkim poprawę bezpieczeństwa. Jeśli dojdzie do kompromitacji klucza prywatnego lub błędnego wystawienia certyfikatu, czas jego potencjalnego wykorzystania będzie krótszy. To realnie ogranicza ekspozycję na incydenty oraz zmniejsza powierzchnię ryzyka.
Największe zagrożenia dotyczą środowisk, w których odnowienia są nadal wykonywane ręcznie lub zależą od niestandardowych skryptów. W takich przypadkach łatwiej o przerwy w działaniu HTTPS, błędy TLS, ostrzeżenia przeglądarek, niedostępność API albo zakłócenia w usługach pocztowych i systemach wzajemnego uwierzytelniania certyfikatami.
Dodatkowym wyzwaniem będzie krótszy okres reuse autoryzacji. Organizacje zarządzające rozproszoną infrastrukturą DNS, wieloma zespołami administracyjnymi lub złożonymi procesami wdrożeniowymi mogą odczuć większą presję czasową przy walidacji domen i wystawianiu certyfikatów.
Rekomendacje
Firmy powinny już teraz przeprowadzić przegląd wszystkich punktów wykorzystania certyfikatów TLS i sprawdzić, czy gdziekolwiek nadal występują zależności od 90-dniowego modelu ważności. Szczególnej uwagi wymagają starsze skrypty, load balancery, reverse proxy, środowiska kontenerowe, platformy serverless oraz wewnętrzne narzędzia monitorujące.
Warto również przetestować odnowienia w środowisku staging i upewnić się, że używany klient ACME poprawnie obsługuje nowoczesne mechanizmy planowania odnowień. Sam monitoring dat wygaśnięcia nie wystarczy — systemy nadzoru powinny wykrywać także nieudane próby renew, błędy walidacji oraz problemy komunikacji z usługą ACME.
- zautomatyzować pełny cykl wystawiania i odnawiania certyfikatów,
- usunąć sztywno zakodowane terminy odnowień,
- przetestować scenariusze awarii procesu renew,
- skrócić czas reakcji na błędy DNS i walidacji HTTP,
- centralnie monitorować stan certyfikatów w usługach publicznych i wewnętrznych,
- zaktualizować procedury operacyjne i runbooki pod kątem częstszych odnowień.
Podsumowanie
Skrócenie ważności certyfikatów Let’s Encrypt do 64 dni jest wyraźnym sygnałem dalszego zaostrzania praktyk bezpieczeństwa w publicznym PKI. Dla organizacji opierających się na sprawnej automatyzacji będzie to stosunkowo niewielka zmiana. Dla środowisk utrzymujących ręczne lub przestarzałe procesy odnowień może to być jednak test dojrzałości operacyjnej i odporności infrastruktury. Najbliższe miesiące warto wykorzystać na audyt, testy i usunięcie wszelkich zależności od dotychczasowego 90-dniowego cyklu.
Źródła
- SecurityWeek — Let’s Encrypt Cuts Default Certificate Validity to 64 Days Ahead of 45-Day Switch — https://www.securityweek.com/lets-encrypt-cuts-default-certificate-validity-to-64-days-ahead-of-45-day-switch/
- Let’s Encrypt Blog — Upcoming Changes: 45 Day Certificate Lifetimes — https://letsencrypt.org/2025/12/11/45-day-lifetimes/
- Let’s Encrypt — informacje i komunikaty organizacji — https://letsencrypt.org/