Czas ucieka: krótsze ważności certyfikatów SSL to już fakt

Let's Encrypt ogłosiło zmianę, która dotknie każdego developera, admina i inżyniera DevOps. Od 10 lutego 2027 roku domyślny czas ważności wystawianych certyfikatów skróci się do 64 dni. Znamy te 90 dni na pamięć — teraz trzeba się przestawić.

Dla jasności: to nie jest grom z jasnego nieba. Let's Encrypt zapowiadało ten kierunek od dawna. Cała branża bezpieczeństwa od lat idzie w stronę krótszych certyfikatów. Im krócej certyfikat żyje, tym mniejsze ryzyko związane z kompromitacją klucza czy błędnie wystawionym dokumentem.

Harmonogram zmian na najbliższe lata

Zacznijmy od konkretów:

• 10 lutego 2027 — wszystkie nowe i odnawiane certyfikaty będą ważne 64 dni
• 11 maja 2027 — ostatni certyfikat wystawiony na 90 dni wreszcie wygaśnie
• 2028 — kolejne skrócenie do 45 dni
• 2029 — okres ponownego wykorzystania autoryzacji spadnie do siedmiu godzin

Plus jest taki, że środowisko stagingowe Let's Encrypt przełączy się na nowe czasy już 14 października 2026. To daje solidne okno na przetestowanie wszystkiego przed zmianami w produkcji. Szczerze? Warto z tego skorzystać.

Czy Twoje zarządzanie certyfikatami przetrwa zmiany?

Rozłóżmy to na czynniki pierwsze.

Jeśli korzystasz z klientów obsługujących ARI

ACME Renewal Info to mechanizm, który pozwala Let's Encrypt komunikować się bezpośrednio z Twoim klientem i podpowiadać optymalny moment odnowienia certyfikatu. Brzmi rozsądnie, prawda? Automatycznie, dynamicznie, bez sztywnych harmonogramów.

Problem w tym, że "obsługuje ARI" to nie to samo co "ARI działa poprawnie w Twojej konfiguracji". Przejrzyj dokumentację swojego klienta i upewnij się, że wszystko jest aktywne. Zakładanie, że wszystko działa — to prosta droga do niespodziewanych awarii w najgorszym możliwym momencie.

Jeśli masz w kodzie wpisane na twardo daty odnowień

Ile razy widziałeś coś takiego: "odnów certyfikat 30 dni przed wygaśnięciem" albo "odnawiaj co 90 dni"? Sprawdź swoje skrypty, crony, playbooki Ansible. Szukaj liczb jak 83, 80, 60 czy 30 — to ślady sztywnych harmonogramów, które trzeba zaktualizować.

Let's Encrypt zaleca odnawianie w okolicach dwóch trzecich życia certyfikatu. Przy 64 dniach to mniej więcej 42-43 dni. Ale mówiąc praktycznie — jeśli dzisiaj ustawisz odnowienia na około 80 dni, przesiadka na nowe czasy będzie bezbolesna.

Autoryzacja od nowa: zmiana, którą łatwo przeoczyć

Jest jeszcze jedna kwestia w komunikacie Let's Encrypt, która zasługuje na uwagę. Okres ponownego wykorzystania autoryzacji skraca się z 30 dni do 10.

Dla większości użytkowników to żadna zmiana. Autoryzacja to proces walidacji kontroli domeny — mechanizm pozwalający pominąć ponowną weryfikację, jeśli niedawno już jej dokonano. Dopóki nie budowałeś swojej infrastruktury wokół tego konkretnego zachowania, możesz to spokojnie zignorować.

Ale jest kontekst: Let's Encrypt likwiduje w ten sposób konieczność "CAA rechecking" — powtórnej walidacji, gdy dane są starsze niż 7 godzin. Od 2029 roku maksymalny czas ponownego wykorzystania walidacji wyniesie tylko siedem godzin. To przygotowanie gruntu pod większe zmiany za rok.

Zrób wreszcie porządek z certyfikatami

Szczerości czas. Te zmiany to prezent. Nie dlatego, że krótsze ważności są wygodne — są dokładnie odwrotnie. Chodzi o to, że zmuszają do porzucenia podejścia "ustaw i zapomnij".

Jeśli nadal logujesz się SSH na serwery co 89 dni, żeby ręcznie odnowić certyfikat, operujesz na fundamencie, który prędzej czy później się zawali. Certyfikaty wygasają w weekendy, w święta, o trzeciej w nocy podczas awarii. Automatyzacja eliminuje całą kategorię takich problemów.

Warto też dodać:

• Alerty przy błędach odnowienia — informacja przed wygaśnięciem, nie po
• Automatyczne wdrożenia — powiązanie procesu odnowienia z reloadem usługi
• Health checki — monitoring dat wygaśnięcia w całej infrastrukturze

Podsumowanie

Let's Encrypt nie zmienia limitów, endpointów ACME ani łańcuchów wystawiania. Wyłącznie czas ważności, co jest zgodne z kierunkiem, w którym zmierza cała branża.

Dla tych, którzy mają już automatyzację odnowień, przejście powinno być bezproblemowe. Dla reszty — traktuj to jako ostateczny bodziec do wdrożenia proper certificate automation.

Środowisko stagingowe otwiera się w Oktober 2026. To jest Twój poligon testowy. Wykorzystaj go.

Potrzebujesz pomocy z SSL, automatyzacją certyfikatów albo przygotowaniem infrastruktury na te zmiany? Chętnie pomożemy przejrzeć Twój obecny setup i upewnić się, że jesteś gotowy.

Trzymajcie się bezpiecznie. Wasi użytkownicy (i rotacja on-call) będą wdzięczni.