90 天到 64 天：Let’s Encrypt 将于 2027 年 2 月起缩短免费证书有效期

90 → 64 天：全球最大网站证书颁发机构 Let's Encrypt 明年 2 月起缩短证书有效期 — ithome.com · 1 小时前 · 🔒 安全

围绕网站加密连接的可靠性，Let’s Encrypt 宣布调整免费 SSL/TLS 证书的有效期策略：自 2027 年 2 月 10 日起，免费证书有效期将由原先的 90 天缩短至 64 天。文章指出，SSL/TLS 证书用于完成客户端与网站之间的加密握手与身份校验；缩短有效期本质上是在减少证书私钥泄露或证书分配错误后可能造成的持续风险范围。该机构在 2016 年初推出时选择 90 天周期，目标是当时推动自动续期机制更快普及，并加速 HTTPS 部署。

文中同时回顾 Let’s Encrypt 先前的规划：其已明确提出未来进一步收紧有效期，在 2026 年 10 月 14 日开放测试，管理员可加入测试验证续发、部署和续期流程是否兼容新周期；并计划在 2028 年把默认有效期再降至 45 天。配套调整不仅限于证书有效期，文章还提到授权重用周期将同步从 30 天缩短至 10 天，并计划在 2028 年进一步降到 7 小时。作者给出面向运维的核心建议：在正式生效前，应确认所使用的 ACME 客户端支持相关新能力与自动化续期细节，特别是支持续期前参数（例如 ARI）、能在续期失败或证书到期前及时提醒，并通过测试期提前发现可能导致 2027 年 2 月后意外过期的问题。

整体来看，这次变更延续了 Let’s Encrypt 的安全逻辑，即通过更短的有效窗口来降低密钥泄露或错误签发造成的影响持续时间，同时借助测试机制让网站管理员有机会验证自动续期链路的兼容性，从而在政策落地后维持稳定的 HTTPS 可用性与安全水平。

核心信息

Let’s Encrypt 公告确定从 2027 年 2 月 10 日起，把免费 SSL/TLS 证书的有效期由 90 天下调到 64 天，其目的在于缩小私钥泄露或证书误配后造成的“可持续暴露窗口”。
组织给出时间线与验证通道：在 2026 年 10 月 14 日开放测试，管理员可选择加入测试，在正式生效前检验证书签发、部署以及续期流程是否能适配新有效期周期，避免上线后出现不兼容导致的到期风险。
文章强调未来仍将继续收紧：在其既定规划中，到 2028 年默认有效期还会进一步减半至 45 天，从而延续“更短有效期—更小风险影响”的策略路径。
除了证书有效期，授权重用周期也会被同步缩短：从 30 天降至 10 天，且计划在 2028 年进一步降到 7 小时；运维需核对 ACME 客户端是否支持续期失败处理、到期提醒以及相关机制（如 ARI）以保证自动化链路稳定。

💡 为什么值得读: 因为有效期与授权重用周期同步收紧，会直接倒逼证书续期自动化与告警治理升级，提前做好兼容性验证能显著降低 2027 年后过期事故概率。

✍️ 小编看法: 证书有效期“越短越安全”这件事听起来简单，但对运维体系的要求却会实打实地提高。Let’s Encrypt 从 90 天到 64 天，核心价值在于把潜在风险的持续时间压缩到更小的范围：如果私钥真的泄露、或某些环节导致证书被错误分配，影响不会“自然拖到一年半载”，而是更快进入可控的轮换与失效周期。

不过，很多团队在实践中忽略了另一个成本：短有效期会放大自动续期链路的脆弱点。比如定时任务是否会漂移、证书续期失败时是否真正触发告警、Web/Ingress 是否会在续签后正确热更新、以及部署系统是否存在缓存导致“旧证书仍在被引用”。当周期从 90 天缩短到 64 天，这些问题可能不再是“偶尔出一次故障”，而更容易落在你难以预判的时点上。

对读者而言，这条消息的重要性不在于“知道政策变了”，而在于把变更当作一次流程体检：你们的 ACME 客户端是否已经支持测试期里验证的续期方式，是否能对续期失败给出清晰可操作的通知，是否有兜底策略（例如过期前的双证书切换、回滚或手动签发通道）。如果这些机制缺位，缩短周期可能带来的不是安全提升而是可用性下降。

对行业而言，这次调整也会推动更规范的证书自动化治理：更短周期意味着企业会更倾向于集中式管理与可观测性建设，而不是各系统各自维护零散脚本。同时，它也给安全团队一个机会去校准事件响应节奏：当密钥风险发生时，轮换与验证的时间窗口更明确。

下一步我建议重点观察两类信号：一是 2026 年 10 月测试期期间，社区与厂商是否会公布迁移/兼容性最佳实践；二是到 2027 年 2 月前后，各类监控平台与运维社群是否出现“续期失败/过期提醒不充分”的集中案例，从而反向暴露哪些自动化环节仍需要补齐。

🏷️ Let's Encrypt, TLS, certificate validity