证书只剩 64 天了：2027 年之前，目录站该把 HTTPS 这套改成什么样

证书过期的经典事故，是那种半夜被用户告知「你们站打不开」的尴尬。而在接下来两年，这类事故会变多——因为有效期本身在缩短，人工盯续期这种做法已经跟不上了。

图片来源：网络，版权归原作者所有，侵权请联系删除

时间线，先记下来

时间	变化	说明
2020-09-01	新签证书不超过 398 天	苹果率先在根证书政策里落地，各家跟进
2026-05-13	Let's Encrypt 的 tlsserver 配置改为 45 天	可选配置，给愿意先试的人
2027-02-10	默认配置改为 64 天	授权复用期同时从 30 天降到 10 天
2028-02-16	默认配置降到 45 天	授权复用期降到 7 小时

这里面有个容易忽略的细节：这些日期是对新签发证书生效的。也就是说你手里现有的 90 天证书不会提前失效，但你下次续期拿到的就是短的了。Let's Encrypt 的说法是最后一张 90 天证书会在 2027 年 5 月到期。

背后的推动力是 CA/B 论坛的基线要求，全行业公开信任的 CA 都会跟进，不是某一家在折腾。到 2029 年前，行业目标是所有公开信任证书的有效期不超过 47 天。

这意味着什么

短有效期的好处很直接：私钥万一泄露，能被利用的窗口更短，吊销机制的压力也小了。代价是续期频率翻倍，并且域名控制权要被反复验证——授权复用期从 30 天压到 7 小时之后，每次续期几乎都要重新走一遍验证。

对目录站来说，影响落在三个地方：主站证书、可能存在的多个子域、以及 CDN 或对象存储上绑的自定义域名。子域多的站要清点一遍，别漏掉某个早就没人管的小子域。

该做的四件事

• 确认 ACME 客户端支持 ARI。ACME Renewal Information 让服务端告诉客户端该什么时候续，客户端不用猜。续期窗口由 CA 给，比自己写死天数可靠。
• 检查有没有硬编码的天数。脚本里写 83 天、80 天、60 天这类固定间隔的，到了 45 天时代会直接失效。官方建议是按证书生命周期的三分之二去续，别写死数字。
• 通配符证书必须用 DNS-01。HTTP-01 只能验证单个主机，签发不了通配符。用 DNS-01 就要给客户端 DNS API 权限，这个权限要收窄——只给改某条 TXT 记录的权限，别把整个域名的管理密钥放在 Web 服务器上。
• 续期告警要有。自动续期不是免死金牌，DNS API 改了、端口被封了、配置被覆盖了都会让它静默失败。监控要盯「证书还有几天」而不是「续期任务有没有跑」。

验证一件事的最快办法：把续期命令手动跑一遍，看它是不是真的不中断服务。别等到证书真的快过期时才发现 reload 没配。

证书类型怎么选

目录站用 DV 证书就够了，它验证的是域名控制权，签发快、能全自动。OV 和 EV 多出来的是组织身份审核，浏览器对 EV 的特殊展示早就取消了，多花的钱换不来可见的差异。

多子域的话，通配符（一张覆盖所有同级子域）比逐个签发省事，但代价是私钥一旦泄露影响面更大，而且必须用 DNS-01。折中办法是按用途分：主站和主要子域一张，不重要的一次性子域另一张。

顺带提醒两件小事

证书链要配完整，缺中间证书在部分客户端上会直接报错，而浏览器可能因为能自动补链让你误以为没问题。用命令行工具看完整链，别只信浏览器。

还有，证书变短之后，「证书过期」这件事的排查成本会上升——它变成一种间歇性、局部性的故障。把证书剩余天数做成一条日常监控项，比任何事后排查都划算。