多年来，我目睹了SSL/TLS证书有效期不断缩短，每次变更都推动我们采用更严格的安全措施。如今，随着证书颁发机构/浏览器（CA/B）论坛最新决定将证书有效期缩短至2029年的47天，我们正站在又一次重大变革的边缘，这一变革将彻底改变未来证书的管理与维护方式。
理解变化
47天证书有效期规则是什么？
目前，公共 SSL/TLS 证书的有效期最长为 398 天。但 2025 年 4 月，苹果公司提出的逐步将有效期缩短至 47 天的提案正式获得 CA/B 论坛通过，苹果、谷歌、Mozilla 和微软这四大浏览器厂商均投了赞成票。
这还包括缩短域名控制验证（DCV）的重复使用周期，该周期将于2029年3月缩短至仅10天。这意味着组织需要更频繁地验证域名，从而缩短整个证书生命周期的时间线。
为什么会发生这种情况？
虽然让证书更频繁地过期看似麻烦，但背后有充分的理由。以下是原因：
- 降低证书被篡改的风险: 有效期更长的证书会带来更长的安全漏洞窗口。如果证书被篡改，攻击者可以利用它进行更长时间的恶意活动。通过缩短证书的有效期，可以大幅降低这些长期有效证书被利用的风险。
- 推动自动化: 新规也是对自动化的一大推动。由于证书到期频率过高，手动续期已不再可行。这是CA/B论坛推动行业向更高效、自动化的工作流程转型的举措，旨在减少人为错误并提升整体安全性。
- 保持系统敏捷性: 在发生安全漏洞或其他安全问题时，您希望系统能够迅速响应。更短的证书有效期意味着受损证书将更快被替换，这有助于提升安全态势的敏捷性并最大限度地减少损害。
- 为后量子时代做准备: 更短的有效期还有其他原因吗？密码学领域正在不断发展。随着量子计算技术的临近，我们需要能够快速适应的系统。频繁的更新使我们能够灵活地快速推出更新——尤其是在为后量子密码学做准备时。
本质上，这些变化旨在加强安全措施并为自动化铺平道路。尽管这可能让IT团队感到头疼，但论坛认为这些变化将对互联网安全和安全带来净收益。
时间表与技术细节
SSL/TLS 有效期变更的实施时间表是怎样的？
实施日期如下：
证书有效期与域名验证重复使用有何区别？
乍一看，这些术语可能显得有些专业，但一旦分解开来，其实非常简单明了：
- 证书有效期指的是SSL/TLS证书自签发之日起的有效时长。目前，证书的有效期最长可达398天，但随着即将实施的变更，证书的有效期将大幅缩短，到2029年时将仅剩47天。
- 域名验证复用指的是证书颁发机构（CA）在多长时间内可以使用相同的证明来验证您对域名的所有权或控制权，而无需再次进行验证。目前，复用期最长可达398天，但到2029年，这一期限将缩短至仅10天。
更简单地说：
- 证书有效期指的是证书本身有效的时长。
- 域名验证复用指的是证书颁发机构（CA）在要求您再次确认域名所有权之前，可以依赖您的域名所有权证明的时间长度。
到2029年，47天的证书有效期将导致您的证书过期速度加快，而10天的域名验证重复使用期则意味着您需要更频繁地验证域名。此时，自动化技术将真正发挥作用，手动操作将不再可行。
业务影响
这将对组织产生什么影响？
如果您目前正在管理证书，您会发现这种转变不仅仅关乎安全——它还带来了实际的运营挑战。归根结底，更短的证书有效期意味着更频繁的续期，而如果您的团队仍在手动管理证书，那么您将面临巨大的挑战。
将SSL/TLS证书的有效期从398天缩短至47天，对网络安全具有以下重要影响：
- 减少攻击面: 更短的有效期意味着被篡改的证书被利用的时间更短。
- 提升安全态势: 定期更新确保证书采用最新标准和配置。
- 支持零信任原则: 定期更新确保信任持续得到验证。
但运营影响不容忽视。虽然更短的证书有效期带来的安全优势是推动这一转变的主要驱动力，但它们也带来了显著的运营挑战。
- 更频繁的续期: 每47天跟踪并续期证书在没有自动化工具的情况下是不现实的。
- 人为错误的风险: 手动流程容易出现续约遗漏、系统中断和合规缺口。
- 资源需求增加: IT团队可能需要分配更多的人员、培训或工具以跟上需求。
- 对所有业务的影响: 无论您是大型企业还是中小企业（SMB），管理这一转变都需要采用可扩展的方法。
哪些行业受影响最大？
简短回答？几乎所有使用SSL/TLS证书的行业！但某些领域将受到更直接的影响，尤其是那些具有高流量、安全敏感环境的行业。以下是简要概述：
- 金融: 银行、支付处理商及其他金融机构高度依赖安全交易，因此定期更新证书对于确保系统安全并符合监管要求至关重要。
- 医疗保健: 随着《健康保险流通与责任法案》（HIPAA）等隐私法规的实施，医疗保健提供者需要确保其系统始终安全。证书有效期的缩短将意味着需要更频繁地进行验证，以保护患者数据。
- 零售与电子商务: 在线商店和市场平台处理大量客户数据和支付信息，因此安全证书管理成为防范欺诈、维护信任的关键。
- 政府与公共服务: 政府机构是网络威胁的高风险目标，因此定期更新证书有助于保障敏感信息安全并维护公众信任。
- SaaS 和云服务提供商: 这些企业通常需要处理大量客户数据。更短的证书有效期意味着对服务提供商及其客户而言都能提升安全性。
当然，所有使用SSL/TLS证书来保护网站、应用程序或任何数字通信的企业都将受到影响。无论您是全球性企业还是本地小型店铺，证书有效期的缩短都将影响您对证书的管理和续期方式。
自动化与解决方案
有哪些自动化选项？
您的基础设施、团队规模和证书数量将决定最适合您的解决方案。
- ACME: 如果您正在寻找一种免费且简单的方式来自动化域名验证（DV）证书，ACME 是一个可靠的选择。对于需要基本自动化而无需过多复杂性的企业而言，它是一个绝佳的起点。
- 证书自动化管理器: 对于大型企业或拥有复杂基础设施的组织，这款企业级解决方案提供了全面的自动化功能，包括证书续期管理和报告功能。它特别适合需要在不同环境中管理多个域名的组织。
- 内部PKI: 如果您对非面向公众的系统有特定需求，通过设置内部PKI并制定自定义规则，您可以对证书管理拥有更多控制权。这对于希望以高度定制化方式管理内部证书的企业而言是理想选择。
无论您从何处开始，目标都是一致的：立即采取行动，降低风险，避免系统中断，并在47天要求成为常态之前抢占先机。
如何实现自动化？
第一步？先看看你已经拥有的资源，然后在此基础上逐步扩展。
如果您刚开始接触，像ACME这样的工具可以帮助您快速且免费地自动化生成和续期DV证书。对于希望摆脱手动跟踪和电子表格的团队来说，这是一个很好的第一步。
对于更高级的需求——例如管理多种证书类型、环境或团队——您可能需要考虑使用托管PKI平台或类似Certificate Automation Manager的解决方案。这些平台能为您提供更全面的可视化管理、策略控制及报告功能，尤其在大型或受监管的环境中更为实用。
不确定需要什么？没关系。请联系GlobalSign进行免费咨询，讨论您的需求并了解哪种解决方案最适合您的需求。
特殊情况与豁免
关于OV和EV证书，情况如何？
OV（组织验证）和EV（扩展验证）证书与标准的DV（域名验证）证书略有不同，但新规则仍适用于它们，需要注意以下几点：
- 域名验证: 与DV证书类似，OV和EV证书也将遵循相同的域名验证重复使用时间表。这意味着，到2029年，域名验证将需要每10天重新验证一次。
- 主体身份信息（SII）: 对于OV和EV证书，组织的身份信息（如公司名称和地址）仍需每年重新验证。这是一个手动步骤，但它确保证书反映了申请该证书的组织的当前和准确信息。
- 手动验证: OV 和 EV 证书通常需要进行更详细的验证，例如电话验证或其他验证方法，即使证书有效期缩短，这些验证步骤仍将作为流程的一部分保留。
虽然OV和EV证书与DV证书具有相同的域名验证时间，但验证过程仍需额外步骤来验证组织的身份。这意味着需要更频繁的检查，但同时也能确保组织的身份经过了严格验证。
规则变更后，浏览器会拒绝更长的证书吗？
不，浏览器不会突然停止信任在新规则生效前签发的证书。
即将实施的变更仅适用于证书签发，而非验证。这意味着，如果您在截止日期（2026年3月15日之前）获得一个有效期为398天的证书，浏览器将继续信任该证书直至其自然过期，即使过期时间在新的限制措施生效之后。
因此，不会一夜之间发生变化。但一旦新的日期生效，任何新颁发的证书都必须遵循较短的有效期。建议提前规划并立即开始调整相关流程。
内部PKI是否受到影响？
不，内部PKI不受CA/B论坛规则的约束。
这些更改仅适用于由受信任的证书颁发机构（CA）签发的公共 SSL/TLS 证书。如果您使用内部 PKI 用于内部应用程序、开发环境或非公共系统，您可以自由设置自己的证书有效期和验证策略。
话虽如此，现在仍可能是重新评估内部PKI策略的好时机。将内部实践与新标准对齐，例如采用更短的证书有效期并增加自动化，可以提高一致性、降低风险，并使您更轻松地在整个环境中管理证书。
战略准备
我们现在该怎么办？
2029年看似遥不可及，但在此之前将有重要变革接踵而至。现在采取主动措施，将有助于您避免因停机造成的巨大损失或临阵磨枪的仓促应对。
这不仅仅是关于有效期较短的问题——而是关于如何现代化管理证书的整体方式。以下是开始的方法：
1. 通过证书库存审计提升可见性
确保您清楚所有证书的存放位置。库存中的缺口会带来风险。工具如Atlas Discovery可帮助您清晰掌握证书管理状况。
2. 定义证书策略和工作流程
如果您尚未这样做，请制定一个涵盖证书颁发、续期、撤销及访问控制的集中化政策。标准化工作流程有助于团队协作并减少不同环境中的不一致性。
3. 根据您的需求采用自动化解决方案
看看您当前的基础设施能够支持什么，以及随着证书数量的增长您将需要什么。无论您是刚开始使用ACME，还是正朝着完全托管的公钥基础设施（PKI）解决方案过渡， 自动化都是确保及时处理续期请求的关键。
⚠️仅供参考：ACME 是自动化 SSL/TLS 证书签发和续期的绝佳起点，但它并非完整的生命周期管理解决方案。如果您需要端到端可视化、报告和策略执行功能，则需要更高级的工具。
4. 持续监控并报告
通过监控和警报功能，及时掌握即将过期的证书和政策违规情况。报告功能对于审计、ISO合规性以及内部问责制也至关重要。
5. 培训团队
确保团队成员了解即将到来的变化，以及支持这些变化的工具和流程。提高意识可以减少错误，并帮助每个成员更快地行动。
还能在2026年前获得398天证书吗？
是的，还有时间。
如果您在2026年3月15日之前续签或购买证书，仍可获得当前最长有效期398天。此日期之后，新证书将遵循CA/B 论坛时间表规定的较短有效期，起始有效期为200天。
因此，如果您希望在下次续约时获得最大收益，现在正是提前规划的好时机。请记住：设备寿命将逐渐缩短，自动化将成为必然趋势。
未来保障
这与量子计算有关吗？
不是直接的，但它是更大图景的一部分。
更短的证书有效期有助于为互联网做好准备，以应对后量子密码学（PQC）——一种旨在抵御未来量子威胁的新加密标准。当这些新算法推出时，证书可能需要更频繁地更新。
通过缩短产品寿命周期并推动自动化，该行业正抢先应对这一变革趋势，并构建更加灵活、面向未来的基础设施。
非浏览器客户端（VPN、物联网设备）如何适应？
这是一个很好的问题，浏览器并不是唯一依赖证书的系统。许多非浏览器客户端，如VPN、物联网设备、内部应用程序和遗留系统，也依赖于SSL/TLS来建立安全连接。那么，它们如何应对更短的证书有效期呢？
- 部分系统已支持自动化: 许多现代系统，包括部分VPN设备和物联网平台，已支持ACME等协议，这使得证书的签发和续期自动化变得更加容易，就像为网站进行证书管理一样。
- 其他情况可能需要定制化解决方案: 对于那些不支持开箱即用自动化的系统，您可能需要自行构建或编写脚本以处理续订、安装和验证等流程。这可能涉及使用API、定时任务或与内部工具进行集成。
- 首先进行盘点: 在进行任何更改之前，建议对环境进行审计，识别哪些系统正在使用证书、它们的配置方式，以及是否可以实现自动化。这有助于避免后续出现意外情况，并确保没有遗漏任何内容。
非浏览器客户端不会被忽视，但可能需要更多的手动规划。只要制定了正确的策略，就可以将这些系统纳入自动化计划，确保一切运行顺畅。
为变革做好准备
证书管理不必让人头疼。无论您是想审核当前的证书库存、自动化续期流程，还是部署完整的生命周期管理解决方案，我们都随时为您提供支持。
编辑注：本文最初于2024年10月16日发布，但随后进行了更新，以反映行业变化和新见解。
