Let's Encrypt 在 2026 年 10 月 7 日宣布：2027 年 2 月 10 日起，所有訂閱者預設改用有效期 64 天的憑證，除非你主動選擇更短的 45 天或 6 天。當天及之後簽發或續期的憑證都是 64 天；按官方的估計，最後一張 90 天憑證會在 2027 年 5 月 11 日到期。現有憑證不會因此被吊銷。

時間表

  • 2026 年 10 月 14 日：測試環境（staging）開始簽發 64 天憑證，官方建議先在測試環境驗證。
  • 2027 年 2 月 10 日：預設的 classic 設定檔改為 64 天憑證，網域驗證結果的重複使用期從 30 天縮短到 10 天。
  • 2028 年 2 月 16 日：classic 設定檔再改為 45 天憑證，驗證重複使用期縮短到 7 小時。

這是整個行業按 CA/瀏覽器論壇基線要求推進的變化，不是 Let's Encrypt 一家的決定。我們在 6 天短期憑證那篇裡講過可以主動選更短的憑證，這次變化則會影響所有用預設設定的人。

哪些人需要動手

  • 客戶端支援 ARI 的：官方原話是「should be all set」。ARI（ACME Renewal Information）讓 CA 直接告訴客戶端什麼時候續期，是否支援請查你所用客戶端的文件。
  • 續期時間寫死的：比如「到期前 X 天續」或固定的 cron 週期。官方建議改成在憑證壽命約 ⅔ 處續期，並給了一個排查辦法：在 cron 任務、包裝指令碼和維運文件裡搜 83、80、60 這類常見的寫死數字。
  • 依賴驗證重複使用的：除非你的客戶端是專門按重複使用驗證結果來設計的，否則不需要改。
  • 速率限制不變，ACME 端點位址和憑證鏈也不變。

憑證越短，續期失敗的後果來得越快。官方也建議借這個機會把重新載入和部署自動化，並給續期失敗加上告警。Nginx 上的設定流程見 Let's Encrypt SSL 憑證設定教學；用 DNS 驗證（dns-01）簽發萬用字元憑證的，DNS 那一側的設定見把網域解析到 VPS。

還有一個新選擇：Cloudflare 宣布要做公共 CA

9 月 29 日，Cloudflare 宣布打算成為公共憑證頒發機構：已向 Chrome、Apple、Microsoft、Mozilla 的根憑證計畫提交申請，並簽了協議，收購 GlobalSign 一個自 2012 年起就被廣泛信任的根憑證。它明確表示目前還沒有開始簽發。公布的規則裡有兩點和這次變化直接相關：簽發走 ACME，從別的免費 CA 切過去只需要改目錄網址；並且只給支援 ARI 的客戶端簽發。將來不管用哪家，把續期時機交給 ARI 都是同一個方向。憑證簽發的另一道防線是 CAA 記錄，見 ccTLD 註冊局被劫持那篇。