Pozor na změnu: Let's Encrypt zkracuje platnost certifikátů
Změna na obzoru: Kratší platnost SSL certifikátů už klepe na dveře
Let's Encrypt oznámil změnu, která ovlivní každého vývojáře, správce serverů i DevOps inženýra. Od 10. února 2027 začne tato oblíbená certifikační autorita vydávat certifikáty s platností 64 dní—oproti současným 90 dnům, na které jsme zvyklí.
Tohle ale není žádné překvapení. Let's Encrypt na tento krok upozorňoval delší dobu a kdo sleduje dění v oblasti bezpečnosti, ten věděl, že kratší platnost certifikátů je pouze otázkou času. Jde totiž o snížení rizika—čím kratší je životnost certifikátu, tím menší škody může případně způsobit kompromitovaný klíč nebo chybně vydaný certifikát.
Co přesně změna 10. února 2027 přinese?
Tady je přehled klíčových termínů:
- 10. února 2027: Všechny nově vydané i obnovené certifikáty budou platit 64 dní
- 11. května 2027: Vyprší poslední certifikát s 90denní platností (vydaný těsně před přechodem)
- 2028: Počítejte s dalším zkrácením na 45 dní
- 2029: Období pro opakované použití autorizací se smrskne na pouhých sedm hodin
Dobrá zpráva? Let's Encrypt spustí změny ve staging prostředí už 14. října 2026. Máte tak dostatek času na otestování, než se novinky projeví v ostrém provozu. Rozhodně toho využijte.
Je vaše správa certifikátů připravená?
Tady přichází ta zajímavá část. Na co se zaměřit:
Používáte ARI-kompatibilní klienty
Pokud váš automatizovaný systém obnovy spoléhá na ACME klienta s podporou ACME Renewal Info (ARI), pravděpodobně máte vystaráno. ARI umožňuje Let's Encrypt komunikovat přímo s vaším klientem o optimálním načasování obnovy. Jde o chytřejší a dynamičtější přístup ke správě certifikátů, který se neomezuje na rigidní rozvrhy.
Ale pozor—nespoléhejte jen na to, že "to bude fungovat". Ověřte si v dokumentaci vašeho klienta, že ARI je skutečně implementováno a funguje správně. Právě neověřené předpoklady jsou zdrojem problémů.
Máte pevně dané datum obnovy
Tady se spousta z nás dostává do problémů. Pokud vaše logika obnovy vypadá jako "obnovit 30 dní před vypršením" nebo "obnovovat každých 90 dní", je čas svůj přístup přehodnotit.
Let's Encrypt doporučuje obnovovat přibližně ve dvou třetinách životnosti certifikátu. U 64denních certifikátů to znamená zhruba 42–43 dní. Tady je rada navíc: výpočty jsou jednodušší, když nastavíte obnovu kolem 80. dne u současných 90denních certifikátů—pak už nebudete muset nic spěšně měnit, až přijde přepnutí.
Projeďte své cron úlohy, wrapper skripty a runbooky. Hledejte čísla jako 83, 80, 60 nebo 30. To jsou jasné znaky pevně zakódované logiky obnovy, která potřebuje aktualizaci.
Opakované použití autorizací: Změna, která snadno unikne pozornosti
V oznámení se skrývá ještě jedna změna, která si zaslouží pozornost: období opakovaného použití autorizací klesne z 30 dnů na pouhých 10 dní.
Pro většinu uživatelů to nebude vyžadovat žádné úpravy. Opakované použití autorizací je optimalizace, která umožňuje ACME klientovi přeskočit opakovanou validaci kontroly domény, pokud jste ji nedávno provedli. Dokud jste专门nepostavili svou infrastrukturu na spoléhání se na toto chování, pravděpodobně vás to nemusí trápit.
Let's Encrypt ale tuto změnu dělá kvůli odstranění potřeby "CAA překontrolování"—procesu, kdy se validace musí opakovat, pokud jsou původní validační data starší než 7 hodin. Od roku 2029 se maximální doba opakovaného použití validace zkrátí na pouhých sedm hodin, takže jde o přípravu na budoucnost.
Využijte tuto změnu jako motivaci k lepší správě certifikátů
Náš názor? Tahle změna je vlastně dar. Ne proto, že by kratší platnost byla pohodlná (to rozhodně není), ale protože nás nutí přestat brát správu certifikátů jako úkol "nastavit a ignorovat".
Pokud se pořád přihlašujete na servery každých 89 dní a ručně obnovujete certifikáty, hrajete s ohněm. Certifikáty vyprší v těch nejméně vhodných chvílích—v pátek odpoledne, během svátků, uprostřed noci při incidentu. Automatizace eliminuje celou tuto kategorii problémů.
Mimochodem, zvažte přidání:
- Alertů při selhání obnovy: Dostávejte upozornění před vypršením certifikátu, ne až po něm
- Automatizovaného nasazení: Propojte obnovu certifikátů přímo s procesem reloadu vaší služby
- Health checků: Sledujte expirace certifikátů napříč celou infrastrukturou
Shrnutí
Let's Encrypt nemění nic na rate limitech, ACME endpointech ani řetězcích vydávání. Jde čistě o úpravu životnosti s bezpečnostními přínosy, které zapadají do širšího trendu v oboru směrem ke kratší platnosti certifikátů.
Přechod by měl být hladký pro každého, kdo už používá automatizované workflow pro obnovu. Pro ostatní? Berte to jako jemné (nebo ne tak jemné) postrčení k implementaci pořádné automatizace certifikátů.
Staging prostředí se otevře v říjnu 2026. To je váš testovací polygon. Využijte ho.
Otázky ohledně SSL, automatizace certifikátů nebo přípravy vaší infrastruktury na tyto změny? Rádi vám pomůžeme s auditem současného nastavení a zajistíme, že budete na přechod připravení.
Držte svou bezpečnost na uzdě. Vaši uživatelé (a vaše on-call rotace) vám poděkují.