Let's Encrypt 在 2026 年 10 月 7 日宣布：2027 年 2 月 10 日起，所有订阅者默认改用有效期 64 天的证书，除非你主动选择更短的 45 天或 6 天。当天及之后签发或续期的证书都是 64 天；按官方的估计，最后一张 90 天证书会在 2027 年 5 月 11 日到期。现有证书不会因此被吊销。

时间表

  • 2026 年 10 月 14 日：测试环境（staging）开始签发 64 天证书，官方建议先在测试环境验证。
  • 2027 年 2 月 10 日：默认的 classic 配置改为 64 天证书，域名验证结果的复用期从 30 天缩短到 10 天。
  • 2028 年 2 月 16 日：classic 配置再改为 45 天证书，验证复用期缩短到 7 小时。

这是整个行业按 CA/浏览器论坛基线要求推进的变化，不是 Let's Encrypt 一家的决定。我们在 6 天短期证书那篇里讲过可以主动选更短的证书，这次变化则会影响所有用默认配置的人。

哪些人需要动手

  • 客户端支持 ARI 的：官方原话是「should be all set」。ARI（ACME Renewal Information）让 CA 直接告诉客户端什么时候续期，是否支持请查你所用客户端的文档。
  • 续期时间写死的：比如「到期前 X 天续」或固定的 cron 周期。官方建议改成在证书寿命约 ⅔ 处续期，并给了一个排查办法：在 cron 任务、包装脚本和运维文档里搜 83、80、60 这类常见的写死数字。
  • 依赖验证复用的：除非你的客户端是专门按复用验证结果来设计的，否则不需要改。
  • 速率限制不变，ACME 接口地址和证书链也不变。

证书越短，续期失败的后果来得越快。官方也建议借这个机会把重载和部署自动化，并给续期失败加上告警。Nginx 上的配置流程见 Let's Encrypt SSL 证书配置教程；用 DNS 验证（dns-01）签发通配符证书的，DNS 那一侧的设置见把域名解析到 VPS。

还有一个新选择：Cloudflare 宣布要做公共 CA

9 月 29 日，Cloudflare 宣布打算成为公共证书颁发机构：已向 Chrome、Apple、Microsoft、Mozilla 的根证书计划提交申请，并签了协议，收购 GlobalSign 一个自 2012 年起就被广泛信任的根证书。它明确表示目前还没有开始签发。公布的规则里有两点和这次变化直接相关：签发走 ACME，从别的免费 CA 切过去只需要改目录地址；并且只给支持 ARI 的客户端签发。将来不管用哪家，把续期时机交给 ARI 都是同一个方向。证书签发的另一道防线是 CAA 记录，见 ccTLD 注册局被劫持那篇。