Ketyeg az óra: Jönnek a rövidebb SSL tanúsítvány-érvényességi idők

A Let's Encrypt nemrég bejelentett valamit, amire minden fejlesztőnek, rendszergazdának és DevOps szakértőnek érdemes odafigyelnie. 2027. február 10-től kezdve a népszerű tanúsítványkiadó szervezet alapértelmezetten 64 napos tanúsítványokat fog kiadni—lecsökkentve a megszokott 90 napról.

De valljuk be, ez nem váratlan. A Let's Encrypt már egy ideje jelezte ezt az irányt, és ha követted a biztonsági iparág mozgását, a rövidebb tanúsítvány-érvényességi idők nem újdonságok. A lépés mögött a kockázatcsökkentés áll: minél rövidebb ideig él egy tanúsítvány, annál kevesebb idő marad egy kompromittált kulcs vagy hibásan kiadott tanúsítvány károkozására.

Mi változik 2027. február 10-én?

Nézzük meg a részleteket:

• 2027. febr. 10.: Minden újonnan kiadott és megújított tanúsítvány 64 napos érvényességi idővel jelenik meg
• 2027. máj. 11.: Az utolsó 90 napos tanúsítvány (közvetlenül a határidő előtt kiadva) végleg lejár
• 2028: Újabb csökkenés várható, 45 napra
• 2029: Az engedély-újrafelhasználási idők drasztikusan, mindössze hét órára zsugorodnak

A jó hír? A Let's Encrypt 2026. október 14-én bekapcsolja a változást a staging környezetben, így lesz elegendő időd tesztelni, mielőtt az éles környezetben is életbe lép. Érdemes kihasználni ezt az ablakot.

Felkészült vagy a tanúsítványkezelésed?

Most jön a lényeg. Íme, mit érdemes ellenőrizned:

Ha ARI-kompatibilis klienst használsz

Ha az automatizált megújítási folyamatod egy ACME kliensre épül, amely támogatja az ACME Renewal Info (ARI) protokoll, akkor valószínűleg jó helyzetben vagy. Az ARI lehetővé teszi, hogy a Let's Encrypt közvetlenül kommunikáljon a klienseddel az optimális megújítási időzítésről. Ez egy okosabb, dinamikusabb megközelítés, amely nem merev ütemtervekre támaszkodik.

De—és ez fontos—ne csak feltételezd, hogy minden rendben. Ellenőrizd a kliens dokumentációját, hogy az ARI valóban implementálva van-e és működik-e. A feltételezések azok, ahol a leállások kezdődnek.

Ha keményen kódolt megújítási dátumok vannak nálad

Sokan itt buknak meg. Ha a megújítási logikád valami olyasmi, hogy "megújítás a lejárat előtt 30 nappal" vagy "megújítás 90 naponta", ideje frissíteni a megközelítésedet.

A Let's Encrypt a tanúsítvány élettartamának körülbelül kétharmadánál javasolja a megújítást. 64 napos tanúsítványoknál ez nagyjából 42-43 nap. De itt egy szakmai tipp: a matek egyszerűbb lesz, ha már most 80 nap körülire állítod a megújításokat a 90 napos tanúsítványoknál—így nem kell kapkodnod, amikor jön a váltás.

Futtass egy grep-et a cron jobs, wrapper scriptek és runbook-ok között 83, 80, 60 vagy 30-as számokra. Ezek egyértelmű jelei a keményen kódolt megújítási logikának, amit át kell nézned.

Engedély-újrafelhasználás: Az apró változás, amit könnyű overlook-olni

Van még egy változás a bejelentésben, amely érdemel némi figyelmet: az engedély-újrafelhasználási időszak 30 napról mindössze 10 napra csökken.

A legtöbb felhasználónak ez nem igényel változtatást. Az engedély-újrafelhasználás egy optimalizáció, amely lehetővé teszi az ACME kliensed számára, hogy kihagyja a domain-ellenőrzés újbóli validálását, ha nemrég már elvégezted. Hacsak nem építetted kifejezetten az infrastruktúrádat arra, hogy erre a viselkedésre támaszkodj, valószínűleg figyelmen kívül hagyhatod.

A Let's Encrypt azonban azért végzi el ezt a változtatást, hogy megszüntesse a "CAA újracheckelés" szükségességét—egy olyan folyamatot, ahol a validálást meg kell ismételni, ha az eredeti validációs adat 7 óránál régebbi. 2029-től kezdve a maximális validációs újrafelhasználási idők mindössze hét órára zsugorodnak, tehát ez az előkészület része.

Itt az idő fejleszteni a tanúsítványkezelésedet

Íme a véleményünk: ez a változás tulajdonképpen áldás. Nem azért, mert a rövidebb élettartamok kényelmesek (azok alapból nem azok), hanem azért, mert rákényszerítenek minket, hogy hagyjunk fel a tanúsítványkezelés "beállítom és elfelezem" megközelítésével.

Ha még mindig minden 89. napon SSH-zol a szerverekre manuálisan megújítani a tanúsítványokat, tűzjátszódsz. A tanúsítványok a legrosszabb pillanatokban járnak le—péntek délután, ünnepnapok, incidens közepén éjjel. Az automatizálás teljesen kiküszöböli ezt a problémaosztályt.

Miközben ezen vagy, gondolj a következőkre:

• Riasztások megújítási hibákra: Értesülj a tanúsítvány lejárta előtt, ne utána
• Automatizált deployment: Kösd a tanúsítvány-megújítást közvetlenül a szolgáltatás újratöltési folyamatához
• Health checks: Monitorozd a tanúsítvány-lejárati dátumokat a teljes infrastruktúrádon

Összefoglalás

A Let's Encrypt semmit nem változtat a rate limiteken, ACME végpontokon vagy kibocsátási láncokon. Ez tisztán az élettartam-karbantartás, biztonsági előnyökkel, amelyek illeszkednek az iparág szélesebb körű törekvéséhez a rövidebb tanúsítvány-érvényességi idők felé.

Az átállásnak zökkenőmentesnek kell lennie mindenkinek, aki már automatizált megújítási munkafolyamatokat használ. A többieknek? Tekintsétek ezt kedves (vagy kevésbé kedves) noszogatásnak, hogy végre implementáljátok a megfelelő tanúsítvány-automatizálást.

A staging környezet 2026 októberében nyílik meg. Ez a tesztelési terep. Használd ki.

Kérdéseid vannak az SSL-lel, tanúsítvány-automatizálással vagy az infrastruktúrád felkészítésével kapcsolatban? Csapatunk örömmel segít átvilágítani a jelenlegi beállításaidat és biztosítani, hogy készen állj az átállásra.

Maradj biztonságban odakint. A felhasználóid (és az on-call rotationöd) meg fogják köszönni.