证书有效期背后的原因与计划

目前的证书有效期

从 2015 年创立以来，Let’s Encrypt 就提供了 90 天有效的证书。 这一默认有效期将保持不变，我们签发的大部分证书有效期也都是 90 天。

另一方面，所有用户都可以选择申请 6 天有效的短期证书。

详情请参见证书配置文档。

未来的计划

根据行业规则，从 2029 年 3 月 15 日起，证书有效期不能超过 47 天。 因此，我们将于 2028 年 2 月将证书有效期上限缩短至 45 天。

为什么要缩短有效期？

常有人问我们为什么只提供 90 天有效的证书，甚至还要进一步缩短有效期。

缩短有效期的主要原因有两个：

• 减轻签发不当和密钥泄露导致的危害。 即使证书的签发流程存在问题，或者在签发前后发生密钥泄露，这份证书产生影响的时间也会比较短。
• 鼓励自动化，从而大幅提升易用性与可靠性。 只要将证书管理流程自动化，有效期的长短就不会造成任何不便。

起初我们选择将有效期定为 90 天，因为 90 天一方面足够短，能够促进自动化；另一方面也足够长，手动续期同样可行。 尽管我们希望推动自动化，但这只是次要目标，更重要的还是普及 HTTPS。 当时自动签发证书远不如现在一般常见，原因之一就是工具生态（如 ACME 客户端）不成熟。 而现如今情况已大不相同，全自动的证书管理流程屡见不鲜，工具生态也更加丰富。 因此，我们现在有更为充分的条件推行有效期短于 90 天的证书。