Let's Encrypt mengumumkan pada 7 Oktober 2026 bahawa mulai 10 Februari 2027, semua pelanggan akan menerima sijil 64 hari secara lalai, melainkan mereka memilih tempoh yang lebih pendek iaitu 45 atau 6 hari. Setiap sijil yang dikeluarkan atau diperbaharui pada atau selepas tarikh itu sah selama 64 hari, dan Let's Encrypt menjangkakan sijil 90 hari yang terakhir akan tamat tempoh pada 11 Mei 2027. Sijil sedia ada tidak akan dibatalkan sebagai sebahagian daripada perubahan ini.

Garis Masa

  • 14 Oktober 2026: persekitaran staging mula mengeluarkan sijil 64 hari; Let's Encrypt mengesyorkan anda menguji di sana dahulu.
  • 10 Februari 2027: profil lalai classic beralih kepada sijil 64 hari, dan tempoh penggunaan semula pengesahan domain yang telah selesai dipendekkan daripada 30 hari kepada 10 hari.
  • 16 Februari 2028: profil classic beralih lagi kepada sijil 45 hari dengan tempoh penggunaan semula pengesahan selama 7 jam.

Ini perubahan seluruh industri yang dikehendaki oleh Baseline Requirements CA/Browser Forum, bukan keputusan Let's Encrypt seorang. Dalam artikel kami tentang sijil 6 hari kami menerangkan cara memilih sijil yang lebih pendek; perubahan kali ini menjejaskan semua yang menggunakan tetapan lalai.

Siapa yang Perlu Bertindak

  • Klien yang menyokong ARI: menurut Let's Encrypt, anda "should be all set", iaitu sudah bersedia. ARI (ACME Renewal Information) membolehkan CA memberitahu klien anda bila perlu memperbaharui; semak dokumentasi klien anda untuk mengetahui sama ada ia menyokongnya.
  • Masa pembaharuan yang ditetapkan keras, seperti "perbaharui X hari sebelum tamat tempoh" atau selang cron yang tetap: Let's Encrypt mengesyorkan pembaharuan pada kira-kira ⅔ daripada hayat sijil, dan memberikan cara untuk mencari masalahnya — gunakan grep pada kerja cron, skrip pembalut dan buku panduan operasi untuk nombor tetap yang lazim seperti 83, 80 atau 60.
  • Bergantung pada penggunaan semula pengesahan: melainkan klien anda direka khusus berdasarkan penggunaan semula pengesahan, tiada apa yang perlu diubah.
  • Had kadar tidak berubah, begitu juga titik akhir ACME dan rantaian pengeluaran sijil.

Semakin pendek hayat sijil, semakin cepat kegagalan pembaharuan memberi kesan. Let's Encrypt juga mencadangkan peluang ini digunakan untuk mengautomasikan muat semula dan pelaksanaan, serta menambah amaran bagi kegagalan pembaharuan. Untuk bahagian Nginx, lihat mengkonfigurasi sijil SSL Let's Encrypt; jika anda mengeluarkan sijil wildcard dengan pengesahan DNS (dns-01), bahagian DNS diterangkan dalam menghalakan domain ke VPS anda.

Pilihan Baharu Akan Datang: Cloudflare Merancang Menjadi CA Awam

Pada 29 September, Cloudflare mengumumkan hasratnya untuk menjadi pihak berkuasa sijil awam. Ia telah memohon untuk dimasukkan ke dalam program akar Chrome, Apple, Microsoft dan Mozilla, dan menandatangani perjanjian untuk memperoleh akar GlobalSign yang dipercayai secara meluas sejak 2012. Ia menyatakan dengan jelas bahawa ia belum mengeluarkan sijil. Dua peraturan yang diterbitkannya berkait terus dengan perubahan ini: pengeluaran mengutamakan ACME, jadi beralih daripada CA percuma lain hanya memerlukan penukaran URL direktori, dan ia hanya akan mengeluarkan sijil kepada klien yang menyokong ARI. Mana-mana CA yang anda pilih kelak, menyerahkan masa pembaharuan kepada ARI ialah hala tuju yang sama. Satu lagi benteng dalam pengeluaran sijil ialah rekod CAA — lihat artikel kami tentang rampasan pendaftar ccTLD.