無料のSSL/TLS証明書を提供するLet's Encryptは10月7日、2027年2月10日から証明書の標準有効期間を現在の90日から64日へ短縮すると発表した。10月14日から試験環境で64日証明書の発行を開始する予定で、利用者に更新設定の確認を推奨している。2028年には有効期間をさらに45日へ短縮する計画だ。
試験環境での先行提供と本番適用スケジュール
Let's Encryptは、本番環境の変更に先立ち、2026年10月14日からステージング環境で64日証明書の発行を開始する予定だ。ステージングは、本番で設定を切り替える前に動作を試すための環境で、Let's Encryptは本番への適用前にこの環境で試験することを推奨している。
2027年2月10日以降に新規発行、更新する証明書は、原則として有効期間が64日となる。利用者がそれより短い有効期間を選択した場合は、45日や6日の証明書も利用できる。64日は標準設定として適用する期間であり、短い有効期間の選択肢を置き換えるものではない。
既存証明書への影響と更新設定の見直し
発行済みの有効な証明書は、今回の変更を理由に失効することはない。Let's Encryptは、最後の90日証明書が2027年5月11日に有効期限を迎えると見込んでいる。
証明書の更新を自動化している場合、利用中のACMEクライアントがACME Renewal Info（ARI）に対応していれば、推奨される更新時期に合わせて証明書を更新できる。ARIは、Let's Encryptからクライアントへ証明書を更新する時期を通知する仕組みだ。利用者は、クライアントの文書を確認することで、ARIの実装の有無を把握できる。
更新タイミングの設定変更と呼びかけ
更新日を有効期限からの固定日数で決めている場合には、設定の見直しが必要となる。推奨する更新時期は、証明書の有効期間のおよそ3分の2が経過した時点だ。90日の有効期間を前提とする日数をそのまま使用するのではなく、有効期間の長さに応じた更新設定へ変更するよう求めている。64日への移行に備えたこの修正は、2028年に標準有効期間を45日へ短縮する際の準備にもなる。
固定値が設定されている場所が分からない場合には、cronジョブ、ラッパースクリプト、運用手順書を調べるよう案内している。検索対象の例には83、80、60などの数値を挙げた。これらの値をgrepなどで探し、更新のタイミングに固定日数を使っていないか確認する。証明書の寿命だけでなく、更新を実行する運用の前提も確認する必要がある。
2028年には45日へ短縮、認証結果の再利用期間も変更
Let's Encryptは、2028年には証明書の標準有効期間をさらに45日へ短縮する計画だ。また、証明書の有効期間の短縮と並行して、認証結果の再利用期間も現在の30日から10日へ短縮し、2028年には7時間へ縮める予定だ。
認証結果の再利用期間を短縮する背景には、2029年に認証情報の再利用期間の上限が引き下げられることへの対応がある。加えて、認証データが7時間より古い場合に認証処理の一部を繰り返す「CAA再確認」を不要にする目的もあるという。
Let's Encryptによると、ACMEクライアントが認証結果の再利用に依存する特殊な設計になっていない限り、今回の変更に伴う設定変更は必要ないという。また、今回の変更は、証明書の発行回数などを制御するレート制限には影響せず、ACMEのエンドポイントや証明書の発行チェーンも変更しないとしている。
