Эпоха 90-дневных сертификатов Let’s Encrypt подходит к концу: 10 февраля 2027 года центр сертификации переведёт профиль classic, который используется по умолчанию, на срок 64 дня. Организация объявила, что все новые и продлеваемые сертификаты после указанной даты будут действовать 64 дня, если владелец не выбрал более короткий профиль.
Проверить инфраструктуру заранее можно будет уже 14 октября 2026 года, когда 64-дневные сертификаты появятся в тестовой среде Let’s Encrypt. Действующие 90-дневные сертификаты досрочно отзывать не станут. Последний такой сертификат, по расчётам организации, должен истечь 11 мая 2027 года, после чего обычный профиль полностью перейдёт на новый цикл.
Для систем с нормальной автоматизацией переход должен пройти незаметно. ACME-клиенты с поддержкой ACME Renewal Information получают от центра сертификации рекомендуемое окно продления и могут сами выбрать нужный момент. Если срок обновления жёстко зашит в cron, скрипт или инструкцию, Let’s Encrypt советует запускать продление примерно после двух третей срока действия сертификата.
Одновременно срок повторного использования подтверждения домена сократится с 30 до 10 дней. Речь идёт о данных, которыми центр сертификации подтверждает контроль над доменом при выпуске сертификата. В 2028 году окно уменьшится до семи часов. Let’s Encrypt рассчитывает за счёт такого режима отказаться от отдельной повторной проверки CAA для старых данных авторизации.
64 дня станут лишь промежуточным этапом. В феврале 2028 года профиль classic должен перейти на 45-дневные сертификаты. Такой график укладывается в общий курс Web PKI: CA/Browser Forum закрепил постепенное сокращение максимального срока публичных TLS-сертификатов до 47 дней с 15 марта 2029 года.
Изменение не затронет лимиты выпуска, адреса ACME и цепочки сертификации. Let’s Encrypt объясняет сокращение срока снижением ущерба при компрометации ключа или ошибочном выпуске сертификата. Чем меньше сертификат остаётся действительным, тем меньше времени остаётся для злоупотребления. Переход также усиливает отраслевой курс на автоматическое продление.
Администраторам рекомендуют проверить тестовую среду до февраля, убрать фиксированные интервалы вроде 60, 80 или 83 дней из скриптов и автоматизировать не только выпуск, но и установку сертификатов с перезагрузкой сервисов. Отдельные уведомления о сбоях продления тоже становятся важнее: при 64-дневном, а затем 45-дневном цикле запас времени на ручное исправление заметно сократится.
