2026 年 1 月 15 日、Let's Encrypt は 6 日間の短期証明書と IP アドレス証明書を一般提供にしたと発表しました。これらの証明書は 160 時間、つまり 6 日と少しの有効期間を持ち、ACME の証明書プロファイルの仕組みを通じて shortlived という名前のプロファイルで要求します。もはや実験ではなく、すべての利用者が使える機能です。

なぜここまで短くするのか

短期証明書の要点は失効の仕組みに頼るのをやめることです。従来は秘密鍵が漏れた場合、OCSP や CRL を通じて証明書が無効になったとブラウザに伝える必要がありましたが、この経路は現実には当てになりません。証明書が 6 日しか生きないなら、危険にさらされる窓は構造的に小さくなります。だからこそ Let's Encrypt の 6 日証明書はそもそも OCSP や CRL の URL を埋め込みません。

方向はさらに先へ進みます。Let's Encrypt は 2025 年 12 月、既定の証明書の有効期間を 90 日から 45 日へ短くする計画を公表しました。業界全体がより短く、より自動化された方向へ動いており、証明書は年に一度更新する資産ではなく、頻繁に交換される資格情報として扱われつつあります。

運用への三つの現実的な影響

  • 手作業の更新は終わり：6 日証明書は 2〜3 日ごとの更新が推奨され、クライアントは少なくとも 1 日 1 回実行すべきとされます。誰かが覚えていることに頼る流れは、いずれ必ず破綻します。
  • 更新の失敗は通知されなければならない：90 日証明書なら失敗しても数週間の余裕があります。6 日証明書では数十時間しかありません。静かに失敗する定期実行は、そのまま接続不能を意味します。
  • 再読み込みも頻度に追随させる：更新のたびに Nginx や Apache が新しい証明書を取り込む必要があります。手作業の再起動ではなく、--deploy-hook か systemd のタイマーで組み込んでください。

現実的な進め方

  • すべてのサイトに 6 日証明書が要るわけではない：一般的なサイトなら既定のプロファイルと動く自動化で十分です。本当に恩恵を受けるのは、鍵が漏れる危険が高い、あるいは失効の遅れが許されない構成です。
  • 周期を短くする前に自動化を固める：certbot や acme.sh のタイマーが動いていること、更新の記録が残ること、失敗が通知されることを確かめてから shortlived への切り替えを検討します。
  • ARI に時機を任せる：新しいクライアントは ACME Renewal Information に対応し、いつ更新すべきかを認証局が伝えます。固定の日数より堅実です。
  • IP 証明書は古い穴を塞ぐ：ドメインを持たず素の IP で HTTPS を提供したい場面——一時的な管理画面や内部向けの役務——に、ようやく正規の答えが出ました。

ホスティング選びとの関係

短い有効期間は、信頼できる定期実行と、自分で扱えるウェブサーバーの設定を要求します。多くの共用ホスティングでは証明書が管理画面に握られており、更新の頻度は変えられず、失敗の記録も見られません。自分の VPS なら、systemd のタイマー、再読み込みのフック、失敗の通知はすべて自分で設定できます。SharkCloud のプランは root 権限と専用 IP を備え、香港、日本、米国のノードで利用者の近くに置けます——HTTPS の層を自分の制御下に保てます。