Timpul Aleargă: Certificatele SSL cu Durată Mai Scurtă Au Ajuns

Let's Encrypt a anunțat o schimbare majoră pe care orice developer, sysadmin și inginer DevOps trebuie să o ia în seamă. Începând cu 10 februarie 2027, această autoritate de certificare va emite certificate cu o valabilitate de 64 de zile în loc de cele 90 de zile la care ne-am obișnuit.

Dar să fie clar—nu e nicio surpriză. Let's Encrypt semnalizase această direcție de ceva vreme. Dacă ai urmărit tendințele în securitate, duratele mai scurte pentru certificate au fost inevitabile. Scopul? Reducerea riscului. Un certificat cu viață mai scurtă înseamnă mai puțin timp în care o cheie compromisă sau un certificat eliberat greșit poate face ravagii.

Ce Se Schimbă Exact pe 10 Februarie 2027?

Iată timeline-ul:

• 10 februarie 2027: Toate certificatele noi sau reînnoite vor avea 64 de zile valabilitate
• 11 mai 2027: Ultimul certificat de 90 de zile (emis chiar înainte de schimbare) va expira definitiv
• 2028: Așteaptă-te la o nouă reducere până la 45 de zile
• 2029: Perioadele de reutilizare a autorizării vor scădea dramatic la șapte ore

Veștile bune? Let's Encrypt va activa modificarea în mediul staging pe 14 octombrie 2026, oferindu-ți timp suficient să testezi înainte de schimbările din producție. Recomandăm cu tărie să profiți de această fereastră.

Ești Pregătit pentru Această Schimbare?

Hai să vedem ce trebuie să verifici:

Dacă Folosești Clienți Compatibili cu ARI

Dacă sistemul tău automatizat de reînnoire se bazează pe un client ACME care suportă ACME Renewal Info (ARI), probabil că ești acoperit. ARI permite Let's Encrypt să comunice direct cu clientul tău despre momentul optim pentru reînnoire. E o abordare mai inteligentă, dinamică, care nu depinde de programări fixe.

Dar—și asta e important—nu presupune că ești în regulă doar pentru că ai ARI. Verifică documentația clientului tău ca să confirmi că ARI chiar funcționează. Presupunerile sunt locul unde se nasc outage-urile.

Dacă Ai Date de Reînnoire Hardcodate

Aici se împotmolesc mulți dintre noi. Dacă logica ta de reînnoire spune "reînnoiește cu 30 de zile înainte de expirare" sau "reînnoiește la fiecare 90 de zile", trebuie să-ți actualizezi abordarea.

Let's Encrypt recomandă reînnoirea la aproximativ două treimi din viața certificatului. Pentru certificate de 64 de zile, asta înseamnă cam 42-43 de zile. Sfat practic: matematica devine mai simplă dacă setezi reînnoirile să se declanșeze în jur de 80 de zile pentru certificatele de 90 de zile de azi—astfel nu vei avea de furcă când vine schimbarea.

Caută prin cron jobs, scripturi wrapper și runbook-uri numere precum 83, 80, 60 sau 30. Sunt semne clare ale unei logici hardcodate care necesită atenție.

Reutilizarea Autorizării: Schimbarea Subtilă pe Care O Poți Ratea

Există o altă modificare în anunț care merită atenția ta: perioada de reutilizare a autorizării scade de la 30 de zile la doar 10 zile.

Pentru majoritatea utilizatorilor, asta nu necesită schimbări. Reutilizarea autorizării este o optimizare care permite clientului ACME să sară peste revalidarea controlului domeniului dacă l-a făcut recent. Dacă nu ți-ai construit infrastructura special în jurul acestui comportament, poți ignora probabil această modificare.

Totuși, Let's Encrypt face această schimbare pentru a elimina necesitatea "CAA rechecking"—un proces în care validarea trebuie repetată dacă datele originale sunt mai vechi de 7 ore. Începând cu 2029, perioadele maxime de reutilizare a validării vor scădea la doar șapte ore, așa că asta pregătește terenul.

Ia Asta ca Semnal să Îți Îmbunătățești Managementul Certificatelor

Iată perspectiva noastră: această schimbare e de fapt un dar. Nu pentru că duratele mai scurte sunt convenabile (nu sunt, by default), ci pentru că ne obligă să încetăm să tratăm managementul certificatelor ca pe un task de tip "setează și uiță".

Dacă încă te loghezi pe servere la fiecare 89 de zile pentru a reînnoi manual certificatele, te joci cu focul. Certificatele expiră în cele mai nepotrivite momente—vineri după-amiaza, weekend-uri de sărbători, noaptea în timpul unui incident. Automatizarea elimină toată această categorie de probleme.

În timp ce ești la asta, ia în considerare să adaugi:

• Alertare pentru eșecuri de reînnoire: Fii notificat înainte să expire un certificat, nu după
• Deployment automat: Leagă reînnoirea certificatului direct de procesul de reload al serviciului
• Health checks: Monitorizează datele de expirare ale certificatelor peste întreaga ta infrastructură

Concluzia

Let's Encrypt nu modifică nimic la rate limits, endpoint-uri ACME sau lanțuri de emitere. E pur și simplu o ajustare a duratei de viață cu beneficii de securitate care se aliniază tendinței industriei spre perioade de valabilitate mai scurte.

Tranziția ar trebui să fie lină pentru oricine folosește deja fluxuri de lucru automatizate pentru reînnoire. Pentru restul? Consideră asta împingerea finală spre implementarea unei automatizări corecte a certificatelor.

Mediul staging se deschide în octombrie 2026. E locul tău de testare. Folosește-l.

Întrebări despre SSL, automatizarea certificatelor sau pregătirea infrastructurii pentru aceste schimbări? Echipa noastră te ajută cu plăcere să analizezi setup-ul actual și să te asiguri că ești pregătit pentru tranziție.

Stai în siguranță. Utilizatorii tăi (și rota ta de on-call) îți vor mulțumi.