Let's Encrypt宣布证书缩短至64天，手动时代彻底终结！

全球最大的免费 SSL/TLS 证书签发机构 Let's Encrypt 宣布将正式调整证书有效期限。

从 2027 年 2 月 10 日起，Let's Encrypt 默认签发的免费证书有效期将从现有的 90 天缩短至 64 天。不仅如此，官方还计划在 2028 年进一步将其压缩至 45 天。

这意味着，过去“一年手动换几次证书”的侥幸做法将彻底失效。互联网加密生态正在迎来一场全自动化的硬核变革。

关键时间节点

为了让全球运维人员有足够的缓冲期，Let's Encrypt 给出了明确的时间表：

• 2026 年 10 月 14 日：测试环境（Staging Environment）率先开放 64 天证书，供开发者测试。
• 2027 年 2 月 10 日：正式环境上线。所有新签发/续期的默认证书，有效期全部变为 64 天。
• 2027 年 5 月 11 日：最后一批 90 天有效期的旧证书全部过期，64 天时代全面落幕。
• 2028 年年内：计划实施第二阶段缩短，证书有效期将直接降至 45 天。

为什么要缩短？前因后果大拆解

很多人会抱怨：90 天本来就很短了，为什么还要折腾到 64 天甚至 45 天？这背后其实是整个网络安全行业的共识。

1. 行业老大哥们的“强制推手”

这项调整并非 Let's Encrypt 标新立异，而是遵循了 CA/Browser Forum（证书颁发机构/浏览器论坛） 的行业新标准。以 Google Chrome 和 Apple Safari 为首的浏览器巨头，近年来一直在公开呼吁将全球信任的 TLS 证书最大有效期压缩至 45-90 天，以提升全球互联网的安全根基。

2. 堵死私钥泄露的“作恶窗口”

SSL/TLS 证书的安全完全取决于你服务器上保管的私钥。一旦私钥因服务器被黑、网络监听或配置不当而泄露，黑客就能发动中间人攻击。

• 如果证书有效期是一年，黑客就能暗中作恶几个月；
• 如果有效期缩短到 64 天或 45 天，即便私钥泄露，其危害也会随着证书的快速过期而自然终止。

3. 弥补“证书吊销机制”的天然缺陷

理论上，私钥泄露可以通过“吊销证书（CRL/OCSP）”来解决。但现实中，传统的吊销查询机制要么文件太大（CRL），要么影响网页加载速度且暴露用户隐私（OCSP），各大浏览器早已不再完美支持。
既然“主动吊销”不靠谱，安全界达成了一致的绝招：让证书“快生快灭”，用高频的自然过期来替代吊销机制。

4. 彻底消灭“手动运维”的侥幸心理

一年更新 4 次（90天），有人还能忍受手动替换；但一年更新 6 次（64天）甚至 8 次以上（45天），手动操作将变成一场灾难。此举旨在强推全网普及基于 ACME 协议的现代化自动运维。

哪些网站面临“瘫痪”风险？

如果你的自动化脚本不够现代化，这次调整可能会带来静默失败。以下两种情况最容易翻车：

1. “写死剩余天数”的旧脚本：过去许多老旧脚本（或部分老版本面板）的逻辑是“距离过期还有 30 天时触发续期”。
   • 在 90 天时代，证书用了 60 天才续期，没问题。
   • 在 64 天时代，如果还等剩余 30 天，意味着证书刚用 34 天就要续期。而此时，Let's Encrypt 将域名授权重用期限（Authorization Reuse Period）从 30 天缩短到了 10 天。这意味着原有的域名验证早已失效，如果脚本不会自动重新走 DNS/HTTP 验证，续期就会静默失败，最终导致网站证书过期报错。
2. 多云与 CDN 节点的断联：对于自建单台服务器，续期很简单。但如果你使用了 CDN、Web 应用防火墙（WAF）或负载均衡，证书需要分发到海量节点。如果“签发”和“多云分发部署”没有打通闭环自动化，高频的更新会极大增加人工出错率。

运维应对指南：我们该做什么？

为了让你的网站在 2027 年平稳过渡，建议立即开展以下排查：

• 全面转向自动化客户端：停止任何形式的手动申请，改用主流且保持更新的 ACME 客户端（如最新版的 Certbot 或 acme.sh）。
• 启用 ARI（续期信息协议）：确保你的客户端支持 ARI（ACME Renewal Info）。支持该协议的客户端不会自己瞎算时间，而是会主动询问 Let's Encrypt：“我这块证书什么时候续期最合适？”，由官方根据系统拥堵情况动态返回最佳续期窗口。
• 调整续期触发逻辑：检查自建脚本，不要写死剩余天数。推荐的行业最佳实践是：在证书总生命周期的 2/3 左右（即使用约 42 天后）触发续期。
• 建立闭环监控与告警：证书续期成功不等于服务重载成功。必须确保续期后，Nginx/Apache 等服务能自动重载（Reload），并配置第三方监控，一旦发现网站线上证书剩余少于 15 天，立即发送短信或钉钉/企业微信告警。

安全与便利往往是一对天平。Let's Encrypt 将证书缩短至 64 天，看似给运维增加了工作量，实则是在用技术标准倒逼整个互联网向“无感、全自动、更高安全强度”的加密新时代演进。留给我们的准备时间还有几个月，赶紧检查一下你的服务器吧！

最后，管你缩短到几天，跟我的自动续期说去吧！