Что меняется
Максимальный срок действия публичного TLS-сертификата сокращают поэтапно. Требования CA/Browser Forum смотрят на дату выпуска: сертификат, выданный с 15 марта 2026 года, действует не больше 200 дней, с 15 марта 2027 года — не больше 100, с 15 марта 2029 года — не больше 47. Выданные раньше доживают свой срок полностью: задним числом ничего не отзывают.
График сокращения
Вместе со сроком самого сертификата сокращается и срок, в течение которого удостоверяющий центр может переиспользовать уже выполненную проверку домена. Это вторая колонка, и именно она больнее бьёт по ручным выпускам.
| Сертификат выдан | Максимальный срок | Повторное использование |
|---|---|---|
| до 15 марта 2026 | 398 дней | 398 дней |
| с 15 марта 2026 | 200 дней | 200 дней |
| с 15 марта 2027 | 100 дней | 100 дней |
| с 15 марта 2029 | 47 дней | 10 дней |
Сегодня действует строка с 200 днями. Фразы вроде «сертификаты теперь живут 47 дней» встречаются часто, но это срок 2029 года, а не нынешний.
Почему в требованиях два числа на каждый срок
Текст требований задаёт на каждую ступень пару значений: выпускать не следует дольше 199 дней и нельзя дольше 200. Для ступени 2029 года это 46 и 47. Запас в один день существует потому, что день считается как 86400 секунд, а високосные секунды и доли секунды округляются вверх. Практический вывод: не выписывайте сертификат «ровно на предел».
Что это ломает на практике
Сокращение срока ничего не ломает само по себе — оно ломает ручные привычки. Проверьте четыре места:
- Сертификаты, которые кто-то раз в год обновляет руками по напоминанию в календаре.
- Сертификаты, вшитые в образы контейнеров и в сборки приложений.
- Балансировщики и CDN, куда сертификат загружается отдельно от веб-сервера.
- Почтовые и панельные сертификаты: про веб-сервер помнят, про Postfix и панель забывают.
Как проверить свои сертификаты
Срок действия конкретного домена видно без захода на сервер:
echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null \
| openssl x509 -noout -dates -subjectВсе сертификаты на сервере и их остаток в днях:
for c in /etc/letsencrypt/live/*/cert.pem; do
echo "$c $(openssl x509 -noout -enddate -in "$c")"
doneПроверка, что автопродление вообще работает, а не просто настроено:
systemctl list-timers | grep -i certbot
certbot renew --dry-runЕсли --dry-run падает, продление не случится и в реальный день — разбирать нужно сейчас, а не когда сертификат истечёт. Подробный разбор ошибок выпуска — в статье про проверку SSL-сертификата.
Что настроить, чтобы сокращение вас не касалось
Правильная подготовка — это не «обновлять чаще», а «не обновлять руками вообще».
- Выпуск и продление через ACME-клиент с таймером, а не по напоминанию.
- Перезагрузка служб в хуке продления, иначе новый сертификат лежит на диске, а сервер отдаёт старый.
- Проверка домена через DNS, если сертификатов много: wildcard через DNS-01 снимает зависимость от доступности каждого сайта по HTTP.
- Мониторинг срока снаружи. Сервер, который «сам продлевает», молча ломается ровно один раз — и этого достаточно.
Автопродление для нескольких доменов разобрано в статье про автопродление wildcard-сертификатов.
ARI: сервер сам говорит, когда продлевать
При коротких сроках важно не только продлевать, но и не делать это всей планетой одновременно. Для этого в ACME есть расширение ARI — удостоверяющий центр сообщает клиенту окно, в котором стоит обновиться. Оно стандартизовано как RFC 9773. Современные клиенты умеют его читать сами; от администратора нужно лишь не прибивать расписание продления гвоздями к конкретному часу.
Let’s Encrypt сокращает сроки быстрее требований
У конкретных удостоверяющих центров сроки уже короче отраслевого предела. У Let’s Encrypt сейчас три профиля:
| Профиль | Срок сертификата | Когда выбирают |
|---|---|---|
| classic | 90 дней | профиль по умолчанию |
| tlsserver | 45 дней | полностью автоматизированное продление |
| shortlived | 160 часов | сертификат без информации об отзыве |
Профиль shortlived живёт примерно 6 дней и попадает под определение короткоживущего сертификата: такому не нужны ни OCSP, ни список отзыва. С 15 марта 2026 года короткоживущим считается сертификат не дольше 7 дней — раньше порог был 10.
Частые вопросы
Мой сертификат на 398 дней перестанет работать?
Нет. Ограничение применяется к дате выпуска, а не к дате истечения. Выданный до 15 марта 2026 года сертификат доработает свой срок, а вот следующий будет уже короче.
Это касается самоподписанных и внутренних сертификатов?
Нет. Требования CA/Browser Forum распространяются на публичные сертификаты, которым доверяют браузеры. Свой внутренний удостоверяющий центр вы ограничиваете сами.
Можно ли купить сертификат на три года, чтобы не возиться?
Нет, такие сертификаты не выпускают с 2020 года, и предел продолжает снижаться. Платный сертификат на несколько лет означает оплату вперёд с перевыпуском внутри срока, а не один сертификат на годы. Про виды проверки написано в статье о типах сертификатов DV, OV и EV.
Что делать клиентам ZevsHost?
На общем хостинге сертификаты выпускаются и продлеваются панелью автоматически — делать ничего не нужно. На VPS и выделенном сервере продление в вашем управлении: проверьте таймер ACME-клиента и перезапуск служб в хуке.