Сертифікати TLS: термін життя скорочують до 47 днів

Що змінюється

Максимальний термін дії публічного TLS-сертифіката скорочують поетапно. Вимоги CA/Browser Forum дивляться на дату випуску: сертифікат, виданий з 15 березня 2026 року, діє не більше 200 днів, з 15 березня 2027 року — не більше 100, з 15 березня 2029 року — не більше 47. Видані раніше доживають свій термін повністю: заднім числом нічого не відкликають.

Графік скорочення

Разом із терміном самого сертифіката скорочується й термін, протягом якого центр сертифікації може повторно використати вже виконану перевірку домену. Це друга колонка, і саме вона болючіше вдаряє по ручних випусках.

Сьогодні діє рядок із 200 днями. Фрази на кшталт «сертифікати тепер живуть 47 днів» трапляються часто, але це термін 2029 року, а не нинішній.

Чому у вимогах два числа на кожен термін

Текст вимог задає на кожну сходинку пару значень: випускати не слід довше 199 днів і не можна довше 200. Для сходинки 2029 року це 46 і 47. Запас в один день існує тому, що день рахується як 86400 секунд, а високосні секунди й частки секунди округлюються вгору. Практичний висновок: не виписуйте сертифікат «рівно на межу».

Що це ламає на практиці

Скорочення терміну нічого не ламає саме по собі — воно ламає ручні звички. Перевірте чотири місця:

1. Сертифікати, які хтось раз на рік оновлює руками за нагадуванням у календарі.
2. Сертифікати, вшиті в образи контейнерів і в збірки застосунків.
3. Балансувальники та CDN, куди сертифікат завантажується окремо від веб-сервера.
4. Поштові та панельні сертифікати: про веб-сервер пам’ятають, про Postfix і панель забувають.

Як перевірити свої сертифікати

Термін дії конкретного домену видно без заходу на сервер:

echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null \
  | openssl x509 -noout -dates -subject

Усі сертифікати на сервері та їхній залишок у днях:

for c in /etc/letsencrypt/live/*/cert.pem; do
  echo "$c $(openssl x509 -noout -enddate -in "$c")"
done

Перевірка, що автопродовження справді працює, а не просто налаштоване:

systemctl list-timers | grep -i certbot
certbot renew --dry-run

Якщо --dry-run падає, продовження не станеться й у реальний день — розбиратися потрібно зараз, а не коли сертифікат спливе. Докладний розбір помилок випуску — у статті про перевірку SSL-сертифіката.

Що налаштувати, щоб скорочення вас не торкалося

Правильна підготовка — це не «оновлювати частіше», а «не оновлювати руками взагалі».

1. Випуск і продовження через ACME-клієнт із таймером, а не за нагадуванням.
2. Перезавантаження служб у хуку продовження, інакше новий сертифікат лежить на диску, а сервер віддає старий.
3. Перевірка домену через DNS, якщо сертифікатів багато: wildcard через DNS-01 знімає залежність від доступності кожного сайту по HTTP.
4. Моніторинг терміну зовні. Сервер, який «сам продовжує», тихо ламається рівно один раз — і цього достатньо.

Автопродовження для кількох доменів розібрано у статті про автопродовження wildcard-сертифікатів.

ARI: сервер сам каже, коли продовжувати

За коротких термінів важливо не лише продовжувати, а й не робити це всією планетою одночасно. Для цього в ACME є розширення ARI — центр сертифікації повідомляє клієнту вікно, у якому варто оновитися. Воно стандартизоване як RFC 9773. Сучасні клієнти вміють читати його самі; від адміністратора потрібно лише не прибивати розклад продовження цвяхами до конкретної години.

Let’s Encrypt скорочує терміни швидше за вимоги

У конкретних центрів сертифікації терміни вже коротші за галузеву межу. У Let’s Encrypt зараз три профілі:

Профіль shortlived живе приблизно 6 днів і підпадає під визначення короткоживучого сертифіката: такому не потрібні ні OCSP, ні список відкликання. З 15 березня 2026 року короткоживучим вважається сертифікат не довше 7 днів — раніше межа була 10.

Часті питання

Мій сертифікат на 398 днів перестане працювати?

Ні. Обмеження застосовується до дати випуску, а не до дати завершення. Виданий до 15 березня 2026 року сертифікат відпрацює свій термін, а от наступний буде вже коротшим.

Чи стосується це самопідписаних і внутрішніх сертифікатів?

Ні. Вимоги CA/Browser Forum поширюються на публічні сертифікати, яким довіряють браузери. Свій внутрішній центр сертифікації ви обмежуєте самі.

Чи можна купити сертифікат на три роки, щоб не морочитися?

Ні, такі сертифікати не випускають з 2020 року, і межа продовжує знижуватися. Платний сертифікат на кілька років означає оплату вперед із перевипуском усередині терміну, а не один сертифікат на роки. Про види перевірки написано у статті про типи сертифікатів DV, OV та EV.

Що робити клієнтам ZevsHost?

На спільному хостингу сертифікати випускаються та продовжуються панеллю автоматично — робити нічого не потрібно. На VPS і виділеному сервері продовження у вашому керуванні: перевірте таймер ACME-клієнта та перезапуск служб у хуку.