ყველა სტატია

სერტიფიკატები მოკლდება: Let's Encrypt 2027 წლის 10 თებერვლიდან 64 დღეზე გადადის

გამოქვეყნდა · კითხვის დრო: 6 წთ

ვებგვერდის მისამართის გვერდით გამოსახული ბოქლომი ნიშნავს, რომ ბრაუზერსა და საიტს შორის კავშირი დაშიფრულია. ამას უზრუნველყოფს TLS სერტიფიკატი, რომელსაც შეზღუდული მოქმედების ვადა აქვს. ეს ვადა ახლა ეტაპობრივად მცირდება: ის, რაც წლების განმავლობაში ერთხელ წელიწადში ან სამ თვეში ერთხელ კეთდებოდა, მალე ბევრად უფრო ხშირად მოგიწევთ.

თუ სერტიფიკატს ხელით ანახლებთ, ან განახლებისთვის საკუთარი სკრიპტი და ფიქსირებული გრაფიკი გაქვთ, 2027 წლის 10 თებერვლამდე ამ მიდგომას გადახედვა სჭირდება. წინააღმდეგ შემთხვევაში სერტიფიკატს ვადა შეიძლება განახლებამდე გაუვიდეს, ხოლო Let’s Encrypt-ისგან შეხსენების წერილს აღარ მიიღებთ. ქვემოთ განვიხილავთ, რა იცვლება, ვისზე მოქმედებს და რა არის გასაკეთებელი. სტატია ზოგადი ხასიათის ინფორმაციაა და 2026 წლის ნოემბრის მდგომარეობას ასახავს.

რას აკეთებს სერტიფიკატი და რატომ არის მისი ვადის გასვლა პრობლემა

მცირე ბიზნესის ვებგვერდისთვის TLS სერტიფიკატი ორ რამეს უზრუნველყოფს: მნახველსა და საიტს შორის გადაცემული მონაცემები დაშიფრულია, და ბრაუზერს აქვს საფუძველი, რომ საიტს ნდობით მოეპყროს. ონლაინ მაღაზიაში, საკონტაქტო ფორმაში ან შესვლის გვერდზე ეს განსაკუთრებით მნიშვნელოვანია.

სერტიფიკატს ამოწურვის თარიღი აქვს. როცა ვადა გასდის, მნახველი საიტზე ჩვეულებრივად ვეღარ მოხვდება: ბრაუზერი მას გააფრთხილებს. მაღაზიისთვის ეს შეიძლება დაკარგულ შეკვეთებს ნიშნავდეს, ზოგადად კი ნდობის შესუსტებას. ამიტომ განახლების დრო უნდა იცოდეთ და ის არასდროს უნდა გამოგეპაროთ.

ახალი წესები მთელი დარგისთვის

ვადების შემცირება Let’s Encrypt-ის ინიციატივა არ არის. საჯაროდ სანდო TLS სერვერ-სერტიფიკატების წესები დადგენილია დოკუმენტში „Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates“. ამ წესებს CA/Browser Forum აყალიბებს, ხოლო 2025 წლის 11 აპრილს დასრულებულ კენჭისყრაში (გადაწყვეტილება SC-081, ვერსია SC081v3) მიღებულია გრაფიკი, რომელიც სერტიფიკატის მაქსიმალურ ვადას 398 დღიდან 47 დღემდე ამცირებს. შემცირება 2026 წლის მარტში დაიწყო და 2029 წლის მარტში დასრულდება.

წესები ეხება ყველა საჯაროდ სანდო TLS სერვერ-სერტიფიკატს, მიუხედავად იმისა, რომელმა სერტიფიცირების ორგანომ გასცა ისინი. ამიტომ ნაყიდი სერტიფიკატიც ამავე წესებს ექვემდებარება.

მაქსიმალური ვადა იმაზეა დამოკიდებული, როდის გაიცა სერტიფიკატი:

გაცემის თარიღი მაქსიმალური ვადა
2026 წლის 15 მარტამდე 398 დღე
2026 წლის 15 მარტიდან 2027 წლის 15 მარტამდე 200 დღე
2027 წლის 15 მარტიდან 2029 წლის 15 მარტამდე 100 დღე
2029 წლის 15 მარტიდან 47 დღე

დოკუმენტი ამასთან ურჩევს, რომ სერტიფიკატი არ გაიცეს მაქსიმალურად დასაშვები ვადით: მიზანშეწონილია 199, 99 და 46 დღეს არ გადააჭარბოს. გამოთვლებში ერთი დღე 86 400 წამია, ამაზე მეტი ნებისმიერი დრო, წამის ნაწილიც კი, დამატებით დღედ ითვლება. თარიღები, თუ სხვაგვარად არ არის მითითებული, 00:00:00 UTC-ს ნიშნავს.

მოკლდება ის ვადაც, რომლის განმავლობაშიც უკვე ჩატარებული შემოწმება შეიძლება ხელახლა გამოიყენონ. სერტიფიკატის გამცემი ამოწმებს, რომ თქვენ ნამდვილად აკონტროლებთ დომენს, და ამ შემოწმების შედეგის ხელახლა გამოყენების ვადა საბოლოოდ 398 დღიდან 10 დღემდე შემცირდება. დანარჩენი იდენტიფიკაციის მონაცემებისთვის ეს ვადა 825 დღიდან 398 დღემდე მცირდება.

Let’s Encrypt-ის საკუთარი გრაფიკი

Let’s Encrypt-ს Internet Security Research Group (ISRG) მართავს. ამჟამად ის 90-დღიან სერტიფიკატებს გასცემს და 2028 წლისთვის ვადას განახევრებს, 45 დღემდე. ცვლილებას ის დარგის დანარჩენ მონაწილეებთან ერთად ახორციელებს, როგორც Baseline Requirements მოითხოვს. გრაფიკი ასეთია:

  • 2026 წლის 13 მაისიდან. ACME პროფილი tlsserver 45-დღიან სერტიფიკატებს გასცემს. ეს პროფილი ნებაყოფლობითია (opt-in) და ადრეული მომხმარებლებისა და ტესტირებისთვისაა განკუთვნილი.
  • 2027 წლის 10 თებერვალი. ნაგულისხმევი ACME პროფილი classic გადადის 64-დღიან სერტიფიკატებზე, ხოლო ავტორიზაციის ხელახლა გამოყენების ვადა 10 დღე ხდება. ცვლილება ეხება ყველა მომხმარებელს, ვისაც არ აურჩევია არც tlsserver, არც 6-დღიანი shortlived პროფილი.
  • 2028 წლის 16 თებერვალი. classic პროფილი 45-დღიან სერტიფიკატებზე გადადის, ავტორიზაციის ხელახლა გამოყენების ვადა კი 7 საათი ხდება.

ავტორიზაციის ხელახლა გამოყენების ვადა ის დროა, რომლის განმავლობაშიც დომენის კონტროლის შემოწმების შემდეგ Let’s Encrypt ამ დომენზე სერტიფიკატების გაცემას აგრძელებს. ცვლილების გამოცხადებისას ის 30 დღე იყო, 2028 წლისთვის კი 7 საათამდე დაეცემა.

მნიშვნელოვანია: მითითებული თარიღები ახლად გაცემულ სერტიფიკატებს ეხება. ანუ მოკლე ვადას ყოველი თარიღის შემდეგ პირველ განახლებაზე დაინახავთ და არა იმავე დღეს. ამიტომ ვადა თავისთავად არ მოგივათ მოულოდნელად, მაგრამ განახლების მექანიზმი ახალ ვადას უნდა უძლებდეს.

რატომ მოკლდება სერტიფიკატები

Let’s Encrypt-ის განმარტებით, ვადის შემცირება ინტერნეტის უსაფრთხოებას აუმჯობესებს ორი გზით: ის ზღუდავს კომპრომეტაციის მასშტაბს და სერტიფიკატის გაუქმების ტექნოლოგიებს უფრო ეფექტიანს ხდის.

პრაქტიკულად ეს ასე გასაგებია: რაც უფრო მოკლეა სერტიფიკატის ვადა, მით უფრო ცოტა ხანს შეუძლია მასზე წვდომის მქონე არასასურველ პირს მისი გამოყენება. თუ რამე არ ისე წავიდა, მოკლე ვადა თავად ზღუდავს ზიანს.

ვისზე მოქმედებს ეს

ცვლილება ეხება ყველას, ვისი სერტიფიკატის განახლებაც ადამიანის გახსენებაზე ან ფიქსირებულ გრაფიკზეა დამოკიდებული. ტიპური შემთხვევები:

  • ხელით განახლება. Let’s Encrypt ხელით განახლებას არ ურჩევს: მოკლე ვადებით ეს უფრო ხშირად მოგიწევთ.
  • საკუთარი სკრიპტები და ფიქსირებული ინტერვალი. მაგალითად, თუ სკრიპტი ყოველ 60 დღეში ერთხელ ეშვება, 45-დღიან სერტიფიკატს ვადა მომდევნო გაშვებამდე დაახლოებით ორი კვირით ადრე გაუვა.
  • ძველი კლიენტის პარამეტრები. Certbot 4.0.0-იდან სერტიფიკატი განახლებისთვის მზადაა, როცა მისი ვადის ერთ მესამედზე ნაკლები რჩება. ამ ვერსიამდე ზღვარი ფიქსირებული 30 დღე იყო. თუმცა აშკარად მითითებული მნიშვნელობები ახალ წესს ანაცვლებს: ძველი ფიქსირებული პარამეტრი მანამდე რჩება ძალაში, სანამ ვინმე არ შეცვლის.
  • შეხსენების წერილებზე დაყრდნობა. Let’s Encrypt-მა ამოწურვის შესახებ შემატყობინებელი ელფოსტის გაგზავნა შეწყვიტა. მისი განმარტებით, ბოლო ათ წელიწადში სულ უფრო მეტ მომხმარებელს აქვს განახლების საიმედო ავტომატიზაცია, ამასთან სერვისი მილიონობით ელფოსტის მისამართის გაცემის ჩანაწერებთან დაკავშირებულად შენახვას მოითხოვდა. თუ ამ წერილებზე ხართ დამოკიდებული, ახლა საკუთარი კონტროლი გჭირდებათ.
  • ნაყიდი სერტიფიკატები. წესები ყველა საჯაროდ სანდო სერტიფიკატს ეხება, ამიტომ ეს მხოლოდ Let’s Encrypt-ის თემა არ არის.

რა უნდა გააკეთოთ ახლა

განახლების საკითხი ახლა, 2027 წლის 10 თებერვლამდე, მოაგვარეთ. ქვემოთ მოცემული ჩამონათვალი ამას ეტაპობრივად აჯამებს.

  1. შეადგინეთ სერტიფიკატების სია. ჩაწერეთ, რომელი დომენისთვის რა სერტიფიკატი გაქვთ, სად გამოიყენება და ვინ ანახლებს. ხშირად ერთ-ერთი ნაკლებად შესამჩნევი სერტიფიკატი, მაგალითად დამხმარე ქვედომენის, დავიწყებული რჩება.
  2. გადადით ავტომატურ განახლებაზე ACME კლიენტით. ავტომატური განახლება ის გზაა, რომლის წყალობითაც 64 და 45 დღის ვადები პრობლემა არ არის. კლიენტმა თავად უნდა გადაწყვიტოს განახლების დრო.
  3. ჩართეთ ACME Renewal Information (ARI). Let’s Encrypt ამას გირჩევთ, რათა კლიენტმა დროულად განაახლოს სერტიფიკატი. ARI ეხმარება კლიენტს გაიგოს, როდის სჭირდება განახლება. მისი ჩართვა კლიენტიდან კლიენტამდე განსხვავდება, ამიტომ საჭირო ინსტრუქცია თქვენი კლიენტის დოკუმენტაციაშია.
  4. თუ კლიენტი ARI-ს არ უჭერს მხარს, დარწმუნდით, რომ გრაფიკი 45-დღიან სერტიფიკატებთან თავსებადია. მისაღებია განახლება მიმდინარე სერტიფიკატის ვადის დაახლოებით ორ მესამედზე. 64-დღიანი სერტიფიკატისთვის ეს დაახლოებით 43-ე დღეა.
  5. გადაამოწმეთ ძველი ფიქსირებული პარამეტრები. სკრიპტებში, დაგეგმილ დავალებებსა და კლიენტის კონფიგურაციაში მოძებნეთ ფიქსირებული რიცხვები (მაგალითად, „განახლება ყოველ 60 დღეში“ ან „30 დღით ადრე“) და შეცვალეთ.
  6. ამოწურვას თავად აკონტროლეთ. რადგან შეხსენების წერილები აღარ მოდის, საკუთარი მონიტორინგი დაგჭირდებათ, რომელიც გაგაფრთხილებთ, თუ სერტიფიკატი ვადის ამოწურვას უახლოვდება და განახლება არ შესრულდა. ავტომატიზაცია ჩუმად შეიძლება გაფუჭდეს, ამიტომ მხოლოდ მასზე არ დაიყრდნოთ.

თუ ამ ეტაპზე გაკვირვებთ, რომ ბევრი დეტალი კლიენტზეა დამოკიდებული, ეს ბუნებრივია: ზუსტი პარამეტრები თქვენი პროგრამისა და ვერსიის დოკუმენტაციაშია. დომენთან დაკავშირებული სხვა მარტივი, მაგრამ მნიშვნელოვანი დაცვის შესახებ, ელფოსტის ავთენტიფიკაციისთვის, იხილეთ SPF, DKIM და DMARC-ის შესახებ სტატია.

როგორ უმკლავდება ამას epicsoft

epicsoft networks-ის ჰოსტინგში დაშიფრული კავშირები ყველა დომენისთვის გამართვისა და ყოველდღიური მუშაობის ნაწილია. ყველაფერს განახლებულს ვინარჩუნებთ, განახლებები ავტომატურად ინსტალირდება, ხოლო მონიტორინგი გვატყობინებს, როცა რამე არასწორადაა. ამიტომ განახლების თარიღებს თქვენ თავად აღარ უნდა მისდევდეთ. ვებგვერდები, რომლებსაც epicsoft networks ქმნის, SSL დაშიფვრით იწყებს მუშაობას და შემდეგაც განახლებულად რჩება. დეტალები იხილეთ გვერდებზე ჰოსტინგი და ვებგვერდები.

წყაროები

სხვა სტატიები

მზად ხართ შემდეგი ნაბიჯისთვის?

დასაწყებად უკეთესი დრო არასდროს ყოფილა. მოგვიყევით თქვენი პროექტის შესახებ.

დაგვიკავშირდით