Let's Encrypt正在推进更严格的安全策略，计划从2027年2月10日起，将免费SSL/TLS证书的有效期从90天缩短至64天。对于已经采用支持ARI（ACME续期信息）功能的现代ACME客户端的管理员来说，这一变化应该是无缝衔接的。但对于仍依赖硬编码续期计划或手动流程的用户而言，2月将是必须完成系统更新的截止期限，否则证书可能会在未预期的情况下突然过期。
从10月14日起，Let's Encrypt将开始测试64天期限的证书，有兴趣的用户可以提前接入测试环境，验证自身系统的兼容性。
在Let's Encrypt于2016年初上线之前，证书的有效期通常长达一到三年。该服务最初推出90天证书，目的是推动此前并不存在的自动化续期机制的建立。更短的证书有效期能够限制私钥被盗带来的安全隐患，同时也加速了整个互联网范围内HTTPS的普及。
此举在当时颠覆了行业惯例，但通过限制证书有效期，一旦证书遭到泄露或错误签发，造成的损害也会相应减小。缩短至64天延续了这一逻辑思路，而且随着时间推移，证书有效期还将继续缩短，预计2028年将进一步降至45天的默认期限。
正如Let's Encrypt最初推出时旨在推动用户转向HTTPS一样，此次缩短证书有效窗口的目的在于推动用户全面采用ACME自动化机制。ACME协议，尤其是其中的ARI（ACME续期信息）功能，能够让证书颁发机构主动告知客户端何时需要续期。尽管ARI具备这一能力，但许多部署仍停留在按固定时间间隔触发的脚本化更新模式，比如“到期前60天”这类设定。
Let's Encrypt此时提前发布这一信息，是为了提醒这些用户及时审查自己的定时任务和运维手册，确保在证书生命周期的三分之二时间点自动触发续期操作，并借此为2028年进一步缩短至45天证书有效期做好准备。
网站管理员现在可以采取的措施
该公司特别建议用户检查系统中是否存在硬编码的续期天数设置，例如83、80和60（这些是此前90天证书常见的续期目标值），并将其更新为适应新的64天期限、确保在到期前完成续期的数值。
确认你的ACME客户端是否支持ARI功能，如果不支持，应及时更新续期脚本。
确保在证书过期或续期失败时能够收到相应的通知提醒。
充分利用10月14日开始的测试期，在正式上线前完成验证工作。
除了证书有效期之外，Let's Encrypt同样在压缩验证时间窗口。授权复用周期将从30天缩短至10天，并最终在2028年压缩至7小时。这一步骤旨在消除对CAA重新检查的需求。大多数运营者除非其ACME客户端依赖缓存的验证数据，否则不会察觉到这一变化。
在2027年2月10日的截止期限到来之前，管理员大约有四个月的时间来测试自己的续期自动化流程，否则一旦截止期限到达，就可能面临服务中断的风险。
Q&A
Q1：Let's Encrypt为什么要缩短证书有效期？
A：缩短证书有效期能够限制私钥被盗等安全风险，一旦证书遭到泄露或错误签发，造成的损害也会相应减小，同时也能推动用户全面采用ACME自动化续期机制。
Q2：证书有效期将如何变化？
A：从2027年2月10日起，证书有效期将从90天缩短至64天，并计划在2028年进一步缩短至45天的默认期限。
Q3：网站管理员现在应该做什么准备？
A：管理员应检查并更新硬编码的续期天数设置，确认ACME客户端是否支持ARI功能，设置证书到期或续期失败的通知提醒，并利用10月14日开始的测试期提前验证系统兼容性。