簡體中文
繁體中文
EnglishSSL證書有效期調整：2026年3月15日起分階段縮短（200天→100天→47天）
CA/Browser 論壇已正式投票修改 TLS 基線要求 ，以制定縮短 TLS 證書有效期和減少 CA 驗證信息再利用性的計劃。用戶受到影響的第一個變化將在 2026 年 3 月開始實施。
該提案在 CA/Browser 論壇經過長時間的討論，并經歷了多個版本，吸收了證書頒發(fā)機構及其客戶的意見。投票期于 2025 年 4 月 11 日結束，標志著一個備受爭議的章節(jié)的結束，并使證書界得以規(guī)劃接下來的步驟。
新的 TLS 證書有效期時間表
新的選票將證書有效期目標設定為47天，這使得自動化變得至關重要。在投票期開始后不久，蘋果提出的建議被提出之前，谷歌曾支持45天的最大有效期，但投票期一開啟，他們幾乎立即就支持了蘋果的提議。
以下是新的時間表：
最大證書有效期將降低：
從今天起至 2026 年 3 月 15 日，TLS 證書的最大有效期為 398 天。
自 2026 年 3 月 15 日起，TLS 證書的最大有效期將為 200 天。
自 2027 年 3 月 15 日起，TLS 證書的最大有效期將為 100 天。
自 2029 年 3 月 15 日起，TLS 證書的最大有效期將為 47 天。
域名和 IP 地址驗證信息可重復使用的最長期限將下降：
從今天起至2026年3月15日，域名驗證信息可重復使用的最長期限為398天。
自2026年3月15日起，域名驗證信息可重復使用的時間最長為200天。
自2027年3月15日起，域名驗證信息可以重復使用的最長期限為100天。
自2029年3月15日起，域名驗證信息可以重復使用的最長期限為10天。
自 2026 年 3 月 15 日起，主體身份信息（SII）的驗證結果只能重復使用 398 天，比之前的 825 天減少了。SII 是指在 OV（組織驗證）或 EV（擴展驗證）證書中發(fā)現(xiàn)的公司名稱和其他信息，即證書保護的域名或 IP 地址之外的所有信息。這不影響 DV（域名驗證）證書，因為 DV 證書沒有 SII。
為什么是47天？
47 天看似一個任意的數(shù)字，但其實是一個簡單的遞減：
200天 = 6個最大月（184天） + 半個30天月（15天） + 1天的緩沖
100天 = 3個最大月（92天） + 大約四分之一30天月（7天） + 1天的緩沖
47 天 = 1 個最大月（31 天）+ 半個 30 天月（15 天）+ 1 天緩沖
蘋果更改的原因
在選票中，蘋果提出了許多支持這些改變的理由，其中一個尤為值得關注。他們指出，CA/B 論壇通過逐年縮短最大有效期，已經告訴世界，有效的證書生命周期管理幾乎是必不可少的自動化過程。
選票認為縮短證書的有效期是必要的，主要原因在于：隨著時間的推移，證書中的信息變得越來越不可靠，這個問題只能通過頻繁驗證信息來緩解。
選票還指出，使用 CRL 和 OCSP 的撤銷系統(tǒng)不可靠。確實，瀏覽器經常忽略這些功能。選票有一大段內容討論證書撤銷系統(tǒng)的缺陷。較短的生命周期可以減輕使用可能被撤銷的證書的影響。2023 年，CA/B 論壇將這一理念提升到了另一個層次，批準了有效期為 7 天的短生命周期證書，這些證書不需要 CRL 或 OCSP 支持。
