گواهی‌های TLS عمومی به‌زودی خیلی کوتاه‌تر می‌شوند و ضرب‌الاجل‌های بعدی نزدیک‌اند. بیشترین عمر مجاز گواهی عمومی در ۱۵ مارس ۲۰۲۶ از ۳۹۸ به ۲۰۰ روز رسید، در ۱۵ مارس ۲۰۲۷ به ۱۰۰ روز و در ۱۵ مارس ۲۰۲۹ به ۴۷ روز می‌رسد. Let's Encrypt که گواهی‌های رایگان بخش بزرگی از وب را صادر می‌کند، پیش‌فرضش را در ۱۰ فوریهٔ ۲۰۲۷ از ۹۰ به ۶۴ روز می‌برد. هر چیزی که با برنامهٔ ثابت یا دستی تمدید می‌شود شروع به شکست خواهد کرد. این راهنما تاریخ‌ها، آنچه داده‌ها دربارهٔ آماده‌نبودن می‌گویند و یک ممیزی کوتاه برای همین هفته را می‌دهد. واقعیت‌ها از منابع لینک‌شده‌اند و ۱۱ نوامبر ۲۰۲۶ خوانده شدند.
جدول زمانی
| از | بیشترین عمر گواهی TLS عمومی (CA/Browser Forum) | پیش‌فرض Let's Encrypt |
|---|---|---|
| پیش از ۱۵ مارس ۲۰۲۶ | ۳۹۸ روز | ۹۰ روز |
| ۱۵ مارس ۲۰۲۶ | ۲۰۰ روز | ۹۰ روز |
| ۱۰ فوریهٔ ۲۰۲۷ | ۲۰۰ روز | ۶۴ روز |
| ۱۵ مارس ۲۰۲۷ | ۱۰۰ روز | ۶۴ روز |
| ۱۶ فوریهٔ ۲۰۲۸ | ۱۰۰ روز | ۴۵ روز |
| ۱۵ مارس ۲۰۲۹ | ۴۷ روز | ۴۵ روز |
منابع: سقف‌های ۳۹۸، ۲۰۰، ۱۰۰ و ۴۷ روز از Ballot SC-081 CA/Browser Forum است، به نقل InternetData و Certimon. تاریخ‌های Let's Encrypt از اعلام خودش است. این سقف‌ها برای گواهی‌های سرور TLS با اعتماد عمومی که تازه صادر می‌شوند اعمال می‌شود؛ گواهی‌های موجود فقط با این تاریخ‌ها کوتاه نمی‌شوند و PKI خصوصی می‌تواند سیاست خودش را داشته باشد (Certimon).
Let's Encrypt چه چیزی را عوض می‌کند
- ۱۳ مه ۲۰۲۶: پروفایل اختیاری
tlsserverگواهی ۴۵روزه صادر می‌کند، برای آزمایش زودهنگام. - ۱۰ فوریهٔ ۲۰۲۷: پروفایل پیش‌فرض
classicبه گواهی ۶۴روزه تغییر می‌کند و دورهٔ استفادهٔ مجدد از اعتبارسنجی از ۳۰ به ۱۰ روز می‌رسد. این هر کسی را درگیر می‌کند که پروفایلtlsserverیاshortlived۶روزه را برنگزیده باشد. - ۱۶ فوریهٔ ۲۰۲۸: پروفایل
classicبه ۴۵ روز می‌رسد و استفادهٔ مجدد از اعتبارسنجی ۷ ساعت می‌شود.
آزمایش گواهی‌های ۶۴روزه از ۱۴ اکتبر ۲۰۲۶ شروع شد (Ars Technica). توصیهٔ خود Let's Encrypt: در حدود دو‌سوم عمر گواهی تمدید کنید یا بگذارید CA از طریق ACME Renewal Information (ARI) بگوید کی، و در cronها، اسکریپت‌ها و runbookها دنبال offsetهای ثابت تمدید مثل ۸۳، ۸۰ یا ۶۰ روز بگردید.
چه کسی آماده نیست: اسکن چه می‌گوید
InternetData میزبان‌های IPv4 روی پورت ۴۴۳ را ۲۲ اکتبر ۲۰۲۶ اسکن کرد. از ۲۵٬۴۸۱٬۹۴۷ میزبان با گواهی معتبر مرورگر، ۳۵٫۵٪ گواهی ۱۰۰ روز یا کمتر داشتند، ۴۳٫۶٪ بین ۱۰۱ تا ۲۰۰ روز و ۲۰٫۹٪ هنوز بیش از ۲۰۰ روز (صادرشده پیش از سقف مارس ۲۰۲۶). از میزبان‌هایی که گواهی ۱۰۱ تا ۲۰۰ روزه داشتند، ۳٬۱۱۱٬۱۶۴ مورد (۲۸٫۰٪) از روز ۱۰۰ گذشته بودند، یعنی گواهی ۱۰۰روزه‌ای که همان روز صادر شود تا آن موقع منقضی شده بود.
برای Let's Encrypt به‌طور مشخص، ۷٬۴۷۴٬۳۷۶ میزبان گواهی ۹۰روزه دارند؛ ۳۰۳٬۹۶۷ مورد (۴٫۱٪) گواهی‌ای قدیمی‌تر از ۶۴ روز داشتند، تمدیدی که وقتی گواهی‌ها ۶۴ روزه شوند خیلی دیر می‌آید. همین اسکن ۳٬۷۹۱٬۷۶۳ میزبان (۱۰٫۲٪) را با گواهی منقضی یافت و ۱۱٫۴٪ میزبان‌های دارای گواهی Let's Encrypt هم در میانشان بودند (InternetData). شمارش میزبان بر پایهٔ IP تعداد وب‌سایت‌ها را بیشتر نشان می‌دهد، چون یک گواهی می‌تواند روی آدرس‌های زیاد باشد، اما جهت روشن است: بخش بزرگی از سرورها امروز دیر تمدید می‌کنند.
ممیزی یک‌هفته‌ای
- همهٔ گواهی‌های عمومی و محل تمدیدشان را فهرست کنید. وب‌سرورها، load balancerها، سرورهای ایمیل، دستگاه‌های VPN و فایروال، پنل‌ها، CDNها. انقضا را با
echo | openssl s_client -connect host:443 -servername host 2>/dev/null | openssl x509 -noout -datesببینید. - offsetهای ثابت تمدید را پیدا کنید. در cron، تایمرهای systemd، jobهای CI و runbookها دنبال ۳۰، ۶۰، ۸۰ و ۸۳ بگردید. آن‌ها را به تمدید در دو‌سوم عمر تغییر دهید یا از ARI استفاده کنید.
- کلاینت ACME را بررسی کنید. مطمئن شوید ARI را پشتیبانی می‌کند و اگر نه به‌روز کنید.
- موارد دستی را پیدا کنید. هر دستگاهی که کسی گواهی را دستی بارگذاری می‌کند از فوریه هر ۶۴ روز و در ۲۰۲۸ هر ۴۵ روز فرایند می‌خواهد. از فروشنده API، hook یا پشتیبانی ACME بخواهید.
- برای شکست هشدار بدهید، نه فقط انقضا. چند روز پیش از انقضای گواهی، تمدید ناموفق را اطلاع بدهید.
- زود آزمایش کنید. از پنجرهٔ آزمایش Let's Encrypt استفاده کنید یا یک میزبان آزمایشی را روی پروفایل
tlsserverبگذارید تا ببینید اتوماسیونتان از عمر کوتاه‌تر جان به در می‌برد. - گواهی‌های غیرعمومی را فراموش نکنید. CAهای داخلی سیاست خودشان را دارند، اما هر چیزی که به CA عمومی می‌رود این سقف‌ها را به ارث می‌برد.
برای گواهی‌های wildcard مشترک بین سرورها که سخت‌ترین حالت‌اند، گواهی wildcard روی چند سرور: چطور تمدید کنیم را ببینید. برای ضرب‌الاجل گواهی دیگری که قبلاً مدیران را گرفتار کرد راهنمای انقضای گواهی Secure Boot و برای شکل عملی مشکل اعتماد به گواهی خطاهای x509 رجیستری Docker را بخوانید. ضرب‌الاجل بلندمدت رمزنگاری دیگر در TLS پساکوانتومی در ۲۰۲۶ است.
پرسش‌های متداول
گواهی‌های Let's Encrypt کی ۶۴ روزه می‌شوند؟ از ۱۰ فوریهٔ ۲۰۲۷ برای پروفایل پیش‌فرض، در اولین تمدید پس از آن تاریخ.
آیا گواهی فعلی من کوتاه می‌شود؟ خیر. سقف‌های جدید برای گواهی‌هایی است که تازه صادر می‌شوند.
بلندترین گواهی عمومی مجاز اکنون چقدر است؟ از ۱۵ مارس ۲۰۲۶ ، ۲۰۰ روز. در ۱۵ مارس ۲۰۲۷ به ۱۰۰ و در ۱۵ مارس ۲۰۲۹ به ۴۷ روز می‌رسد.
ARI چیست؟ ACME Renewal Information به مرجع صدور گواهی اجازه می‌دهد به کلاینت شما بگوید کی تمدید کند، تا برنامهٔ ثابت را در کد نگذارید.