免費、自動化的開放憑證機構（Certificate Authority，CA）Let's Encrypt 日前宣布，自 2027 年 2 月 10 日起，所有用戶預設取得的 TLS 憑證（TLS certificate）效期，將由 90 天縮短為 64 天。該機構預期，最後一張 90 天憑證將於 2027 年 5 月 11 日到期，轉換過程不會撤銷任何有效憑證。以固定天數排程更新憑證的管理者，需要事先檢查並調整設定。
2 月 10 日起新核發與更新的憑證適用
Let's Encrypt 由非營利組織網際網路安全研究組織（Internet Security Research Group，ISRG）營運。依官方說明，
2027 年 2 月 10 日當天及之後核發或更新的憑證，效期一律為 64 天。已選用 45 天或 6 天效期的用戶不受影響。
此次調整不會影響速率限制（rate limits）、ACME 端點與簽發鏈（issuance chains）。
縮短效期為降低金鑰外洩與錯誤核發風險
ISRG 的 Sarah Gran 表示，縮短憑證效期可以降低金鑰外洩與錯誤核發的風險。她指出，ISRG 身為非營利組織，認為推動這項改變是使命的一部分，目的是提升全球網路使用者的安全。
64 天也是過渡階段。Let's Encrypt 先前已公告，預設效期將在 2028 年縮短為 45 天。
固定天數的更新排程需調整
Let's Encrypt 指出，支援 ACME 續期資訊（ACME Renewal Info，ARI）的用戶端，可由憑證機構直接告知何時更新，自動化更新的用戶通常不必調整。管理者可查閱所用 ACME 用戶端的文件，確認是否已支援 ARI。
若更新排程寫死為「到期前固定天數」，就需要修改。官方建議改為在效期約三分之二時更新，並可在 cron 工作、包裝腳本與維運手冊中，搜尋 83、80 或 60 等常見的寫死數值。
Let's Encrypt 預計 2026 年 10 月 14 日起，先在測試環境（staging environment）簽發 64 天憑證，建議用戶在正式切換前先行測試。官方也指出，先改為依效期比例更新，等於為 2028 年的 45 天預設效期打好基礎。
授權重用期間同步縮短
Let's Encrypt 也將把授權重用期間由 30 天縮短為 10 天，2028 年再降至 7 小時。官方表示，這是為了配合 2029 年最大驗證重用期間的縮減，並免除「CAA 重新檢查」（CAA rechecking）。當驗證資料超過 7 小時，憑證機構就必須重複部分驗證流程。
Gran 表示，除非 ACME 用戶端被特別設計為依賴驗證重用，否則用戶不需要變更任何設定。Let's Encrypt 預期轉換過程會順利進行，若用戶遇到問題，可參考官方社群論壇與技術文件。
建議管理者及早檢查
- 確認 ACME 用戶端是否支援 ARI
- 搜尋排程、腳本與維運手冊中的寫死天數，改為約三分之二效期更新
- 2026 年 10 月 14 日起，先在測試環境驗證 64 天憑證
- 將憑證重新載入與部署自動化，並為更新失敗設定告警
本文轉載自 HelpNetSecurity。