Время уходит: срок действия SSL-сертификатов сокращается

Let's Encrypt сделал важное объявление, которое касается каждого разработчика, администратора и инженера DevOps. Начиная с 10 февраля 2027 года этот популярный удостоверяющий центр будет выдавать сертификаты со сроком действия 64 дня вместо привычных 90.

Никаких сюрпризов тут нет. Let's Encrypt давно предупреждал об этом. Если вы следили за тенденциями в безопасности, сокращение жизненного цикла сертификатов было очевидным. Суть проста: чем короче жизнь сертификата, тем меньше времени у скомпрометированного ключа или ошибочно выданного сертификата навредить.

Что меняется 10 февраля 2027 года?

Вот хронология событий:

• 10 февраля 2027 — все новые и обновлённые сертификаты活期限 64 дня
• 11 мая 2027 — истекает последний 90-дневный сертификат, выданный перед переходом
• 2028 — ожидается следующее сокращение до 45 дней
• 2029 — период повторного использования авторизации упадёт до семи часов

Важная деталь: Let's Encrypt запустит изменения в тестовом окружении 14 октября 2026 года. Это отличная возможность проверить всё до того, как изменения затронут продакшен. Игнорировать это окно не стоит.

Готовы ли вы к переменам?

Давайте разберёмся, на что обратить внимание.

ACME-клиенты с поддержкой ARI

Если ваша система автоматического обновления использует ACME-клиент с поддержкой ACME Renewal Info (ARI), возможно, проблем будет меньше. ARI позволяет Let's Encrypt напрямую связываться с вашим клиентом и рекомендовать оптимальное время для продления. Это более умный, динамичный подход вместо жёстких расписаний.

Но не спешите расслабляться. Убедитесь, что ARI действительно работает — проверьте документацию вашего клиента. Именно из-за необоснованных предположений потом случаются аварии.

Жёстко заданные даты обновления

Вот где многие попадают в ловушку. Если в вашей логике написано что-то вроде «обновлять за 30 дней до истечения» или «продлевать каждые 90 дней» — пора это менять.

Let's Encrypt советует обновлять примерно на двух третях срока действия. Для 64-дневных сертификатов это примерно 42–43 дня. Но есть лайфхак: если сейчас настроить обновление на ~80 день для 90-дневных сертификатов, переход пройдёт без паники.

Прогоните grep по своим cron-задачам, скриптам и документации. Ищите числа 83, 80, 60, 30 — это признаки жёстко прописанной логики продления.

Повторное использование авторизации: изменение, которое легко пропустить

Ещё одно нововведение заслуживает внимания: период повторного использования авторизации сокращается с 30 дней до 10.

Для большинства пользователей это не критично. Повторное использование — это оптимизация, позволяющая ACME-клиенту пропустить повторную проверку владения доменом, если она уже недавно выполнялась. Если вы не строили инфраструктуру вокруг этого механизма, можно не беспокоиться.

Но Let's Encrypt убирает необходимость «CAA rechecking» — процесса, когда валидация повторяется, если исходные данные старше семи часов. К 2029 году максимальный период повторного использования составит всего семь часов, так что это только начало.

Пора вывести управление сертификатами на новый уровень

На самом деле это хорошая новость. Не потому, что короткие сроки действия удобны — они таковыми не являются. Просто они заставляют нас перестать относиться к сертификатам как к чему-то, что «настроил один раз и забыл».

Если вы всё ещё подключаетесь по SSH каждые 89 дней для ручного продления — вы играете с огнём. Сертификаты имеют привычку истекать в самый неподходящий момент: в пятницу вечером, в праздники, среди ночи во время инцидента. Автоматизация убирает всю эту головную боль.

Пока работаете над этим, добавьте:

• Оповещения при сбоях продления — узнавайте о проблемах заранее, а не когда уже поздно
• Автоматический деплой — привяжите обновление сертификата к перезагрузке сервиса
• Мониторинг — отслеживайте сроки истечения по всей инфраструктуре

Итог

Let's Encrypt не меняет лимиты скорости, ACME-эндпоинты или цепочки выдачи. Только сроки действия — и это шаг в сторону безопасности, который соответствует общему курсу индустрии.

Для тех, кто уже использует автоматическое продление, переход пройдёт гладко. Остальным это сигнал наконец-то настроить нормальную автоматизацию.

Тестовое окружение открывается в октябре 2026. У вас есть время. Используйте его.

Вопросы по SSL, автоматизации сертификатов или подготовке инфраструктуры? Наша команда поможет проверить текущую конфигурацию и убедиться, что вы готовы к изменениям.

Берегите себя и своих пользователей. Ваша дежурная смена скажет спасибо.