O Tempo Está Passando: Vida Útil Menor para Certificados SSL Chegou

O Let's Encrypt soltou um comunicado importante que todo desenvolvedor, sysadmin e engenheiro DevOps precisa ficar de olho. A partir de 10 de fevereiro de 2027, essa autoridade certificadora querida por todos vai emitir certificados com validade de 64 dias por padrão — queda dos 90 dias que a gente já estava acostumado.

Mas deixa eu te dizer uma coisa — isso não é surpresa nenhuma. O Let's Encrypt vem sinalizando essa direção há um tempo, e se você tem acompanhado o cenário de segurança mais amplo, vidas úteis menores para certificados era questão de tempo. Essa mudança tem tudo a ver com reduzir riscos: quanto menor o tempo de vida de um certificado, menos oportunidades um chave comprometida ou certificado emitido erroneamente tem de causar danos.

O Que Muda Exactlyamente em 10 de fevereiro de 2027?

Vamos montar a linha do tempo:

• 10 de fevereiro de 2027: Todos os certificados novos e renovados terão validade de 64 dias
• 11 de maio de 2027: O último certificado de 90 dias (emitido bem antes do corte) finalmente expira
• 2028: Espera-se outra redução para 45 dias
• 2029: Os períodos de reutilização de autorização vão encolher drasticamente para sete horas

A boa notícia? O Let's Encrypt vai ativar as mudanças no ambiente de staging em 14 de outubro de 2026, dando a você uma janela bacana para testar antes das mudanças em produção entrarem em vigor. Recomendamos fortemente que você aproveite isso.

Seu Gerenciamento de Certificados Está Preparado?

É aqui que a coisa fica interessante. Vamos falar sobre o que você precisa verificar:

Se Você Está Usando Clientes Compatíveis com ARI

Se sua configuração de renovação automática depende de um cliente ACME que suporta ACME Renewal Info (ARI), você provavelmente está em boa forma. O ARI permite que o Let's Encrypt se comunique diretamente com seu cliente sobre o melhor momento para renovar. É basicamente uma abordagem mais inteligente e dinâmica para gerenciamento de certificados que não depende de horários rígidos.

Mas — e isso é importante — não vá assumindo que está tudo bem. Confira a documentação do seu cliente para confirmar que o ARI está realmente implementado e funcionando. Suposições são de onde nascem as panes.

Se Você Tem Datas de Renovação Hardcoded

É aqui que muitos de nós acabamos caindo. Se sua lógica de renovação parece algo como "renovar 30 dias antes do vencimento" ou "renovar a cada 90 dias", você precisa atualizar sua abordagem.

O Let's Encrypt recomenda renovar em aproximadamente dois terços da vida útil do certificado. Para certificados de 64 dias, isso é mais ou menos 42-43 dias. Mas aqui vai uma dica de profissional: a matemática fica mais fácil se você simplesmente configurar suas renovações para disparar por volta de 80 dias para certificados de 90 dias hoje — assim você não vai precisar correr quando a mudança acontecer.

Dá uma grepada nos seus cron jobs, scripts wrapper e runbooks procurando números como 83, 80, 60 ou 30. Esses são sinais claros de lógica de renovação com datas fixas que precisam de atenção.

Reutilização de Autorização: A Mudança Escondida que Você Pode Perder

Tem outra mudança enterrada no comunicado que merece atenção: o período de reutilização de autorização está caindo de 30 dias para apenas 10 dias.

Para a maioria dos usuários, isso não vai exigir nenhuma mudança. Reutilização de autorização é uma otimização que permite ao seu cliente ACME pular a revalidação do controle do domínio se você já fez isso recentemente. A menos que você tenha construído sua infraestrutura especificamente para depender desse comportamento, você provavelmente pode ignorar essa parte.

Porém, o Let's Encrypt está fazendo essa mudança para eliminar a necessidade de "rechecagem de CAA" — um processo onde a validação precisa ser repetida se os dados originais de validação têm mais de 7 horas. A partir de 2029, os períodos máximos de reutilização de validação vão encolher para apenas sete horas, então isso é o alicerce para o que vem pela frente.

Esse É o Seu Sinal para Evoluir seu Gerenciamento de Certificados

Aqui vai nossa visão: essa mudança é na verdade um presente. Não porque vidas úteis menores são convenientes (não são, por definição), mas porque elas nos forçam a parar de tratar gerenciamento de certificados como uma tarefa de "configura e esquece".

Se você ainda está fazendo SSH em servidores a cada 89 dias para renovar certificados manualmente, você está brincando com fogo. Certificados expiram nos piores momentos possíveis — sextas à tarde, fins de semana de feriado, no meio da noite durante um incidente. Automação elimina essa classe inteira de problemas.

Enquanto estiver mexendo nisso, considera adicionar:

• Alertas para falhas de renovação: Seja notificado antes de um certificado expirar, não depois
• Deploy automatizado: Conecte a renovação de certificado diretamente ao processo de reload do seu serviço
• Health checks: Monitore datas de expiração de certificados em toda sua infraestrutura

O Recado Final

O Let's Encrypt não está mudando nada em relação a rate limits, endpoints ACME ou cadeias de emissão. Isso é puramente um ajuste de vida útil com benefícios de segurança que se alinham com a tendência geral da indústria de reduzir os períodos de validade dos certificados.

A transição deve ser tranquila para quem já roda workflows de renovação automatizada. Para o resto de nós? Considerem isso seu empurrãozinho (ou não tão gentil assim) para finalmente implementar automação adequada de certificados.

O ambiente de staging abre em outubro de 2026. Esse é seu campo de testes. Use-o.

Tem dúvidas sobre SSL, automação de certificados ou como preparar sua infraestrutura para essas mudanças? Nossa equipe fica feliz em te ajudar a auditar sua configuração atual e garantir que você esteja preparado para a transição.

Fique seguro por aí. Seus usuários (e sua rotação de plantão) vão agradecer.