Let’s Encrypt 大动作：证书有效期“腰斩”至45天，网络安全再升级！

最近，网络安全界投下了一枚重磅炸弹：Let’s Encrypt宣布将全面缩短TLS/SSL证书的有效期，从现有的90天大幅调整至45天。 这一变化预计将从2028年开始正式生效，无疑将对整个互联网的安全生态产生深远影响。对于我们这些网站运营者来说，这意味着什么？别急，搬主题带你深入解读。

证书有效期缩短，安全系数大增

首先，我们得明白 Let’s Encrypt 这一举动的核心目的：提升整体网络安全性。 证书有效期越短，意味着如果密钥不幸泄露，攻击者可以利用这个密钥进行欺骗的时间窗口就越小。这就好比你家门的钥匙，如果每隔一段时间就换一把新钥匙，那即使旧钥匙丢了，小偷能得手的机会也大大降低。

搬主题认为，这是符合行业发展趋势的积极变化。随着网络攻击手段的日益复杂，缩短证书生命周期无疑是降低风险、提升安全韧性的一项重要策略，也与CA/Browser Forum的行业规范不谋而合。

域名验证更频繁，自动化成关键

除了证书有效期，域名验证的“授权重用期”也将从30天缩短到7小时。 这意味着在证书续期时，几乎每次都会重新验证域名所有权。听起来是不是有点麻烦？

不过，Let’s Encrypt 强调，现代的ACME客户端已经实现了高度自动化。对于绝大多数网站管理员来说，这意味着你无需额外操作，自动续期流程会继续正常运作。你的服务器或者CDN服务商（如果它们集成了Let’s Encrypt）会自动处理这些复杂的验证和续期过程，你甚至可能感觉不到任何变化。

分阶段实施，给你充足准备时间

Let’s Encrypt 也考虑到了过渡期的平稳性，采取了分阶段实施的策略：

• 2026年5月： 将推出可选使用45天有效期的配置文件供大家测试，提前适应。
• 2027年2月： 默认证书有效期将缩短至64天，迈出实质性的一步。
• 2028年2月： 全面切换为45天有效期，正式进入“短命”证书时代。

这个时间表给足了大家准备时间，尤其是对于那些还在使用手动续期脚本或者固定周期任务的站长们，你得抓紧时间检查并调整你的续期配置，确保它们能兼容更短的证书生命周期。

新验证方式，告别DNS频繁更新

令人兴奋的是，官方还透露计划在2026年引入新的DNS-PERSIST-01验证方式。 这项创新将允许用户一次性配置DNS TXT记录，之后自动续证就无需再频繁手动更新DNS了。这对于那些需要通过DNS验证的网站来说，无疑是个巨大的福音，大大简化了管理流程。

谁需要特别注意？

对于大部分依赖自动化证书管理的企业与开发者来说，这次变化的影响可能微乎其微，系统基本上可以无感过渡。但如果你属于以下情况，就得特别注意了：

• 仍在使用手写脚本进行证书续期。
• 依赖人工操作或固定周期任务来更新证书。
• 你的主机服务商或CDN提供商尚未完全支持Let’s Encrypt的自动化续期。

搬主题提醒大家，务必尽早检查你的续期配置是否兼容更短的生命周期。提前规划，才能避免在2028年到来时手忙脚乱。毕竟，网站证书过期可不是闹着玩的，那意味着你的网站会显示不安全警告，用户流失在所难免。

总而言之，Let’s Encrypt 的这次变革是为了让整个互联网变得更安全、更可靠。虽然短期内可能需要一些适应和调整，但从长远来看，这将是推动网络安全向前发展的重要一步。