SSL / TLS 证书最长有效期将缩短至 47 天

SC-081v3 提案

4 月 13 日，CA / B 论坛服务器证书工作组投票通过 SC-081v3 提案，最终决定逐步缩短公开信任 TLS 证书有效期及数据重用周期。提案规定证书有效期从 398 天降至 47 天（比 45 天略有延长），SAN 数据重用周期缩短至 10 天。提案满足 CA / B 论坛章程要求，进入知识产权审查阶段。

CA 赞成票 25： Amazon, Asseco Data Systems SA (Certum), Buypass AS, Certigna (DHIMYOTIS), Certinomis, DigiCert, Disig, D-TRUST, eMudhra, Fastly, GlobalSign, GoDaddy, HARICA, iTrusChina, Izenpe, NAVER Cloud Trust Services, OISTE Foundation, Sectigo, SHECA, SSL.com, SwissSign, Telia Company, TrustAsia, VikingCloud, Visa

CA 弃权票 5：Entrust, IdenTrust, Japan Registry Services, SECOM Trust Systems, TWCA

    证书消费者：赞成票 4（苹果、谷歌、微软、Mozilla）、反对票 0、弃权票 0

这项提案不仅涉及证书有效期的缩短，还包括域名验证数据重用期限的限制，目前该提案已获得CABF成员的广泛支持并成功通过。包括Google、Apple、Microsoft等主要浏览器厂商，以及DigiCert等证书颁发机构均投了赞成票。其具体内容是证书最长有效期逐步缩短至 47 天，这将通过以下几个阶段实现 :
　　2026 年 3 月 15 日起： 最长有效期应为 200 天。
　　2027 年 3 月 15 日起： 最长有效期应为 100 天。
　　2029 年 3 月 15 日起： 最长有效期最终将降至 47 天。

证书过期服务中断事件层出不穷

　　近年来因SSL证书过期导致业务中断并不是什么新鲜事。根据Keyfactor和Ponemon Institute的《2023年机器身份管理现状》报告，超过77%的受访企业在过去24个月中至少经历过两次因证书过期而导致的“重大”中断，大型企业、政府机构、跨国组织等都出现过因SSL证书过期导致的服务中断。
　　2024年11月，Apple Music因证书过期导致国内用户无法使用;
　　2024年4月，国际信息系统安全认证联盟ISC2官网因SSL证书过期无法正常访问;
　　2024年4月，某宝网站因为SSL证书过期，出现“此连接非私人连接”提示无法正常访问;
　　2020年5月，特斯拉汽车因证书过期出现大面积宕机;
　　2020年2月，因为SSL证书过期，微软协同办公软件Team在全球范围内宕机瘫痪;
　　2019年初，美国80个政府网站因SSL证书过期，导致公众无法正常访问。

网站证书管理趋势

网站申请和安装SSL证书有一套固定、繁琐的流程，一旦因安装或续费不及时而导致证书过期，很容易造成网站数据被监听、篡改和泄露，严重者可能还会导致企业的各种业务意外中断，网站无法正常运营，造成巨大的经济损失。
1、管理难题：SSL/TLS证书有效期的缩短意味着企业越发频繁的申请和更换证书，给拥有多张证书的企业带来管理困难；
2、配置风险：其更换和申请SSL证书的工作量陡增，运维压力大，人为错误配置导致的风险将加剧；
3、服务中断：短有效期证书和频繁更新更易造成SSL证书到期或配置错误导致网站服务中断。
47天的SSL证书有效期，代表着对于拥有大量证书的企业及网站所有者来说，人工申请和部署SSL证书的传统方案将不太现实，2026年，本地化管理+自动化部署将成为未来主流趋势。
通过自动化管理SSL证书的全生命周期，降低了技术门槛，让网站安全管理更加高效便捷。即便面对SSL证书47天有效期的新政策，企业也能从容应对。