Все статьи

Сертификаты TLS становятся короче: Let's Encrypt переходит на 64 дня в 2027 году

Опубликовано · 7 мин чтения

Замок в адресной строке означает, что соединение между посетителем и вашим сайтом зашифровано, а сайт действительно принадлежит тому, за кого себя выдаёт. Обеспечивает это сертификат TLS. Представьте его как удостоверение сайта со сроком действия. Когда срок истекает, а нового удостоверения нет, посетителей предупреждают, и обычного доступа к сайту у них нет. Для магазина, сайта с записью на приём или контактной формы это может означать потерянные заказы и подорванное доверие.

Сроки действия таких сертификатов сокращаются поэтапно. Let’s Encrypt 10 февраля 2027 года переведёт стандартные сертификаты с 90 на 64 дня, а 16 февраля 2028 года — на 45 дней. Пока вы продлеваете сертификат вручную или по самодельному расписанию, запас времени будет сокращаться. Ниже разобрано, что именно меняется, почему, кого это касается и что стоит сделать заранее. Материал — общая информация по состоянию на ноябрь 2026 года.

Новые правила для всей отрасли

Основа изменений — решение CA/Browser Forum, объединения центров сертификации и разработчиков браузеров. Речь о решении SC-081 (версия SC081v3), голосование по нему завершилось 11 апреля 2025 года.

Правила входят в «Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates». Они относятся ко всем публично доверенным сертификатам TLS для серверов, кто бы их ни выдавал. Это значит, что купленный сертификат затронут так же, как бесплатный.

Максимальный срок действия сертификата зависит от даты выпуска:

Сертификат выпущен Максимальный срок
до 15 марта 2026 398 дней
с 15 марта 2026 до 15 марта 2027 200 дней
с 15 марта 2027 до 15 марта 2029 100 дней
с 15 марта 2029 47 дней

Для каждого этапа документ добавляет «рекомендуемый» срок на день меньше: 199, 99 и 46 дней. Отдельно сказано, что сертификаты не следует по умолчанию выпускать на максимально допустимый срок. Кроме того, сутки в этих расчётах равны 86 400 секундам, а любое превышение, даже на доли секунды, засчитывается как ещё один день. Даты означают 00:00:00 UTC, если не указано иное.

Первый этап уже действует: с 15 марта 2026 года сертификаты выпускаются максимум на 200 дней.

Сокращается и срок, в течение которого центр сертификации может повторно использовать уже выполненную проверку. Результат проверки того, что заявитель управляет доменом, со временем можно будет использовать не 398, а лишь 10 дней. Остальные данные об идентичности можно использовать повторно не 825, а 398 дней.

Расписание Let’s Encrypt

Let’s Encrypt управляется организацией Internet Security Research Group (ISRG). Сейчас центр выпускает сертификаты на 90 дней и к 2028 году сократит этот срок вдвое, до 45 дней. Он делает это вместе с остальной отраслью, как того требуют Baseline Requirements.

Этапы выглядят так:

  • С 13 мая 2026 года. Профиль ACME tlsserver выдаёт сертификаты на 45 дней. Профиль подключается добровольно (opt-in) и предназначен для тех, кто хочет попробовать раньше, и для тестов.
  • 10 февраля 2027 года. Стандартный профиль classic переходит на сертификаты на 64 дня, срок повторного использования проверки домена (authorization reuse period) составляет 10 дней. Это затронет всех, кто не выбрал профиль tlsserver или 6-дневный профиль shortlived.
  • 16 февраля 2028 года. Профиль classic переходит на 45 дней, а повторное использование проверки сокращается до 7 часов.

Срок повторного использования проверки — это время после подтверждения контроля над доменом, в течение которого Let’s Encrypt продолжает выпускать сертификаты для этого домена. На момент объявления он составлял 30 дней, к 2028 году сократится до 7 часов.

Важная деталь: указанные даты относятся к новым сертификатам. Уже выпущенный сертификат на 90 дней действует до конца своего срока. Короткий срок вы увидите при первом продлении после соответствующей даты.

На практике: если ваш сертификат Let’s Encrypt будет продлён, например, в марте 2027 года, вы получите уже сертификат на 64 дня, а не на 90.

Зачем сертификаты сокращают

Let’s Encrypt объясняет это так: более короткий срок действия повышает безопасность интернета, потому что ограничивает масштаб компрометации и делает технологии отзыва сертификатов эффективнее.

Простая аналогия: пропуск в здание, который действует неделю, а не год. Если его потеряли или украли, воспользоваться им смогут лишь недолго. С сертификатами то же самое: если закрытый ключ сайта попал не в те руки, сертификат перестаёт быть действительным раньше. Отзыв сертификатов тоже работает лучше, когда срок их жизни короткий.

Платой за это становится частота замены. Вручную заменять сертификат каждые 45 дней неудобно и легко забыть. Поэтому отрасль делает ставку на автоматическое продление.

Кого это касается

Изменения затронут всех, у кого есть сайт с публично доверенным сертификатом, но особенно заметно — в таких случаях:

  • Ручное продление. Let’s Encrypt не рекомендует его: при более коротких сроках продлевать придётся чаще.
  • Самодельные скрипты с фиксированным интервалом. Пример: скрипт запускается каждые 60 дней. При сертификате на 45 дней он сработает примерно через две недели после истечения срока.
  • Старые настройки клиента с фиксированным моментом продления. Начиная с Certbot 4.0.0 сертификат считается готовым к продлению, когда до конца срока остаётся меньше трети. До версии 4.0.0 порог был фиксированным: 30 дней. Явно заданные значения при этом имеют приоритет, то есть старая фиксированная настройка продолжает действовать, пока кто-то её не изменит.
  • Те, кто полагался на напоминания Let’s Encrypt. Центр прекратил рассылку писем об истечении срока. Причины, которые он назвал: у всё большего числа пользователей настроено надёжное автоматическое продление, а сама рассылка означала хранение миллионов адресов электронной почты, связанных с данными о выпуске сертификатов.
  • Владельцы купленных сертификатов. Правила CA/Browser Forum действуют для всех центров сертификации, поэтому и такие сертификаты будут выдаваться на всё более короткий срок. С 15 марта 2027 года максимум составит 100 дней, с 15 марта 2029 года — 47.

Что сделать уже сейчас

До 10 февраля 2027 года остаётся время, чтобы спокойно всё проверить. Вот список шагов.

  1. Составьте перечень сертификатов. Выпишите все домены и поддомены, для которых используются сертификаты, и где именно они установлены: основной сайт, интернет-магазин, почтовый сервер, служебные страницы. Отметьте, кто и как продлевает каждый из них.
  2. Переходите на автоматическое продление. Используйте клиент ACME, который сам определяет момент продления. ACME — это протокол, по которому Let’s Encrypt и клиенты обмениваются запросами на выпуск сертификатов. Для купленных сертификатов выясните у поставщика, как будет организована замена при более коротких сроках.
  3. Включите ACME Renewal Information (ARI). Let’s Encrypt рекомендует ARI, чтобы клиент продлевал сертификат вовремя: эта функция помогает клиенту понять, когда пора обновлять сертификат. Как её включить, зависит от клиента, поэтому смотрите его документацию.
  4. Если ARI нет, продлевайте примерно через две трети срока. Для клиентов без ARI расписание должно подходить для сертификатов на 45 дней. Допустимое поведение — продление примерно на двух третях срока действия текущего сертификата. Для сертификата на 64 дня это около 43-го дня.
  5. Проверьте старые фиксированные настройки. Если в конфигурации клиента или в планировщике задан жёсткий интервал (например, «раз в 60 дней» или «за 30 дней до конца»), замените его. Помните, что явно заданные значения имеют приоритет над новыми умолчаниями.
  6. Настройте собственный контроль срока. Раз Let’s Encrypt больше не напоминает об истечении, следите за сроком сами: проверяйте дату окончания каждого сертификата и пусть предупреждение приходит конкретному человеку, пока до конца срока ещё остаётся время.

Такая проверка пригодится независимо от Let’s Encrypt. С 15 марта 2027 года максимальный срок для всех сертификатов составит 100 дней, и интервалы продления сократятся и у платных сертификатов.

Если вы хотите так же внимательно проверить другой участок «технического доверия» к своему домену, о том, как подтверждается подлинность писем с него, рассказано в статье SPF, DKIM и DMARC.

Как с этим справляется epicsoft

В хостинге epicsoft networks зашифрованные соединения для каждого домена входят в настройку и в текущую эксплуатацию. Обновления устанавливаются автоматически, а мониторинг сообщает команде, если что-то идёт не так. Клиентам не нужно самим следить за датами продления. Подробнее — на странице хостинга. Сайты, которые epicsoft networks создаёт, запускаются с SSL-шифрованием и поддерживаются в актуальном состоянии, об этом — на странице создания сайтов.

Источники

Другие статьи

Готовы к следующему шагу?

Лучшего момента, чтобы начать, ещё не было. Расскажите нам о своём проекте.

Связаться с нами