ستصبح شهادات TLS العامة أقصر بكثير، والمواعيد القادمة قريبة. فقد انخفض الحد الأقصى لعمر الشهادة العامة من 398 إلى 200 يوم في 15 مارس 2026، ويهبط إلى 100 يوم في 15 مارس 2027 وإلى 47 يوماً في 15 مارس 2029. وتنقل Let's Encrypt، التي تصدر الشهادات المجانية لجزء كبير من الويب، إعدادها الافتراضي من 90 إلى 64 يوماً في 10 فبراير 2027. وكل ما يُجدَّد بجدول ثابت أو يدوياً سيبدأ بالفشل. يعرض هذا الدليل التواريخ وما تقوله البيانات عمّن لم يستعد وتدقيقاً قصيراً تجريه هذا الأسبوع. الوقائع من المصادر المرتبطة وقد قُرئت في 11 نوفمبر 2026.
الجدول الزمني
| اعتباراً من | أطول شهادة TLS عامة (CA/Browser Forum) | افتراضي Let's Encrypt |
|---|---|---|
| قبل 15 مارس 2026 | 398 يوماً | 90 يوماً |
| 15 مارس 2026 | 200 يوم | 90 يوماً |
| 10 فبراير 2027 | 200 يوم | 64 يوماً |
| 15 مارس 2027 | 100 يوم | 64 يوماً |
| 16 فبراير 2028 | 100 يوم | 45 يوماً |
| 15 مارس 2029 | 47 يوماً | 45 يوماً |
المصادر: حدود 398 و200 و100 و47 يوماً من Ballot SC-081 لدى CA/Browser Forum كما لخّصها InternetData وCertimon. وتواريخ Let's Encrypt من إعلانها. تنطبق الحدود على شهادات خوادم TLS الموثوقة علناً الصادرة حديثاً؛ ولا تُقصَّر الشهادات القائمة بهذه التواريخ وحدها، ويمكن لـ PKI الخاصة اتباع سياستها (Certimon).
ما الذي تغيّره Let's Encrypt
- 13 مايو 2026: يُصدر ملف
tlsserverالاختياري شهادات 45 يوماً للاختبار المبكر. - 10 فبراير 2027: يتحول الملف الافتراضي
classicإلى شهادات 64 يوماً، وتُخفَّض فترة إعادة استخدام التفويض من 30 إلى 10 أيام. يشمل هذا كل من لم يختر ملفtlsserverأوshortlivedذا الستة أيام. - 16 فبراير 2028: ينتقل ملف
classicإلى 45 يوماً مع إعادة استخدام التفويض لمدة 7 ساعات.
بدأ اختبار شهادات الـ 64 يوماً في 14 أكتوبر 2026 (Ars Technica). ونصيحة Let's Encrypt نفسها: جدّد عند نحو ثلثي عمر الشهادة، أو دع الجهة المصدِرة تخبرك متى عبر ACME Renewal Information (ARI)، وابحث في مهام cron والسكربتات وأدلة التشغيل عن إزاحات تجديد ثابتة مثل 83 أو 80 أو 60 يوماً.
من لم يستعد: ماذا يُظهر المسح
مسحت InternetData مضيفي IPv4 على المنفذ 443 في 22 أكتوبر 2026. من بين 25,481,947 مضيفاً بشهادة موثوقة في المتصفح، كان 35.5% على شهادة بـ 100 يوم أو أقل، و43.6% على 101 إلى 200 يوم، و20.9% ما زالوا على شهادة تتجاوز 200 يوم (صدرت قبل حد مارس 2026). ومن المضيفين على شهادة 101 إلى 200 يوم، كان 3,111,164 (28.0%) قد تجاوزوا اليوم 100، أي أن شهادة بـ 100 يوم تصدر في اليوم نفسه كانت ستنتهي.
وبالنسبة إلى Let's Encrypt تحديداً، يحمل 7,474,376 مضيفاً شهادة 90 يوماً؛ وكان 303,967 منهم (4.1%) على شهادة أقدم من 64 يوماً، وهو تجديد يأتي متأخراً جداً حين تصبح الشهادات 64 يوماً. ووجد المسح نفسه 3,791,763 مضيفاً (10.2%) يقدّم شهادة منتهية، وكان 11.4% من المضيفين الحاملين لشهادة Let's Encrypt بينهم (InternetData). والعدّ بحسب عنوان IP يبالغ في عدد المواقع لأن الشهادة الواحدة قد تكون على عناوين كثيرة، لكن الاتجاه واضح: حصة كبيرة من الخوادم تجدد متأخرة اليوم.
تدقيق في أسبوع
- اسرد كل شهادة عامة ومكان تجديدها. خوادم الويب وموازنات الحمل وخوادم البريد وأجهزة VPN والجدران وPanels وCDNs. افحص الانتهاء بالأمر
echo | openssl s_client -connect host:443 -servername host 2>/dev/null | openssl x509 -noout -dates. - ابحث عن إزاحات التجديد الثابتة. ابحث في cron ومؤقتات systemd ومهام CI وأدلة التشغيل عن 30 و60 و80 و83. غيّرها للتجديد عند ثلثي العمر أو استخدم ARI.
- افحص عميل ACME. تأكد من دعمه لـ ARI وحدّثه إن لم يكن.
- اعثر على الحالات اليدوية. أي جهاز يرفع فيه شخص شهادة يدوياً سيحتاج إلى عملية كل 64 يوماً من فبراير، وكل 45 يوماً في 2028. اطلب من الموردين API أو hook أو دعم ACME.
- نبّه عند الفشل لا عند الانتهاء فقط. أخطر عند فشل التجديد قبل انتهاء الشهادة بأيام.
- اختبر مبكراً. استخدم نافذة اختبار Let's Encrypt، أو اضبط مضيفاً تجريبياً على ملف
tlsserver، لترى هل تصمد أتمتتك أمام الأعمار الأقصر. - لا تنسَ الشهادات غير العامة. الجهات الداخلية تتبع سياستها، لكن كل ما ينتقل إلى جهة عامة يرث هذه الحدود.
أما الشهادات wildcard المشتركة بين الخوادم، وهي الحالة الأصعب، فراجع شهادات wildcard على عدة خوادم: كيف تجددها. ولموعد شهادة آخر أوقع المسؤولين بالفعل اقرأ دليل انتهاء شهادة Secure Boot، ولشكل مشكلات الثقة بالشهادات عملياً أخطاء x509 في سجل Docker. والموعد التشفيري بعيد المدى الآخر في TLS ما بعد الكم في 2026.
الأسئلة الشائعة
متى تصبح شهادات Let's Encrypt 64 يوماً؟ من 10 فبراير 2027 للملف الافتراضي، عند أول تجديد بعد ذلك التاريخ.
هل ستُقصَّر شهادتي الحالية؟ لا. تنطبق الحدود الجديدة على الشهادات الصادرة حديثاً.
ما أطول شهادة عامة مسموحة الآن؟ 200 يوم منذ 15 مارس 2026. وتصبح 100 يوم في 15 مارس 2027 و47 يوماً في 15 مارس 2029.
ما ARI؟ تتيح ACME Renewal Information للجهة المصدِرة أن تخبر عميلك متى يجدد، فلا تكتب جدولاً ثابتاً في الشيفرة.