Ważność certyfikatów SSL spada do 47 dni
Uchwała SC-081v3 CA/Browser Forum skraca maksymalną ważność certyfikatu do 200 dni w 2026, 100 w 2027 i 47 w 2029. Co się zmienia i co trzeba z tym zrobić.
W kwietniu 2025 CA/Browser Forum przyjęło uchwałę SC-081v3, która w trzech krokach skraca maksymalny okres ważności publicznie zaufanego certyfikatu TLS. To największa zmiana w obsłudze certyfikatów od dekady i, w odróżnieniu od większości prac standaryzacyjnych, ma twardy, opublikowany harmonogram.
Harmonogram
- 15 marca 2026: maksymalna ważność spada do 200 dni.
- 15 marca 2027: maksymalna ważność spada do 100 dni.
- 15 marca 2029: maksymalna ważność spada do 47 dni.
Limit dotyczy certyfikatów wystawionych w danej dacie lub po niej. Certyfikaty wystawione wcześniej zachowują swoją ważność, więc zmiana wchodzi stopniowo, a nie unieważnia niczego z dnia na dzień.
Dlaczego tak się dzieje
Dwa powody, oba o ograniczaniu szkód. Unieważnianie certyfikatów nigdy nie działało w praktyce: przeglądarki nie zawsze mogą je sprawdzić, a unieważniony certyfikat potrafi być akceptowany znacznie dłużej, niż ktokolwiek by chciał. Krótka ważność ogranicza to ryzyko bez polegania na unieważnianiu. Drugi powód to starzenie się danych walidacyjnych - certyfikat ważny ponad rok może przeżyć własność domeny, dla której go wystawiono.
Co realnie się zmienia
Głównie arytmetyka. Przy 398 dniach certyfikat odnawiało się mniej więcej raz w roku i przypomnienie w kalendarzu było wystarczającym procesem. Przy 200 dniach to dwa razy w roku. Przy 47 dniach to około ośmiu razy w roku, na każdy certyfikat. Pomnóż przez liczbę obsługiwanych nazw hostów, a ręczne odnawianie przestaje być procesem, a staje się zagrożeniem na pełen etat.
Co zrobić
- Zautomatyzuj wystawianie. Klienty ACME takie jak certbot czy acme.sh, albo mechanizm wbudowany w serwer lub platformę, odnawiają certyfikat bez udziału człowieka. Jeśli w Twoim środowisku został choć jeden certyfikat wystawiany ręcznie, to właśnie ten wygaśnie.
- Zrób inwentaryzację. Większość firm odkrywa certyfikaty, o których nikt nie pamięta: stary panel administracyjny, host testowy, urządzenie z własnym certyfikatem, którego żaden klient ACME nie dotyka.
- Monitoruj certyfikat serwowany, nie zamierzony. Automatyzacja psuje się po cichu. Odnowienie, które udało się u wystawcy, ale nie zostało przeładowane przez serwer WWW, zostawia wygasły plik na miejscu - i widzi to tylko kontrola z zewnątrz.
- Pilnuj też łańcucha pośredniego. To przy ponownych instalacjach powstają niekompletne łańcuchy, a niekompletny łańcuch zawodzi u części klientów, działając jednocześnie u Ciebie.
To, co się najczęściej lekceważy
Krótsza ważność czyni automatyzację obowiązkową, a automatyzacja czyni monitoring ważniejszym, nie mniej ważnym. Kiedy odnawianie jest zadaniem maszyny, nikt już nie patrzy, czy się odbywa. Ryzyko przestaje brzmieć 'ktoś zapomniał', a zaczyna 'zadanie padło trzy cykle temu i nic o tym nie powiedziało'. Niezależna kontrola certyfikatu, który faktycznie trafia do odwiedzających, zamyka tę lukę.