無料のSSL証明書で広く使われているLet’s Encryptが、10月7日の公式ブログで、証明書の有効期間を短くする具体的な日程を発表しました。2027年2月10日から、発行・更新される証明書は既定で64日の有効期間になります。これまでの90日から、およそ3分の2の長さです。

本番に入る前に試せるよう、検証用の環境(staging)では10月14日から64日の証明書が発行されています。最後の90日証明書は2027年5月11日ごろに期限を迎える見込みで、今ある有効な証明書を途中で失効させることはしないとされています。

影響が出やすいのは更新日を決め打ちしている環境

Let’s Encryptによると、更新を自動化していて、使っているACMEクライアントがACME Renewal Info(ARI)に対応していれば、特に手当ては要らないとのことです。ARIは、いつ更新すべきかを認証局の側からクライアントへ伝える仕組みです。自分の環境のクライアントがARIに対応しているかどうかは、そのクライアントの説明書で確かめられるとされています。接続先のACMEのエンドポイントも変わらないため、設定ファイルのURLを書き換える必要はありません。

注意したいのは、「期限の何日前に更新する」と日数を固定している環境です。発表では、日数の決め打ちをやめて、有効期間の約3分の2が過ぎた時点で更新する設定に変えるよう勧めています。cronの設定や自作のラッパースクリプト、運用手順書に、83、80、60といった数字が書かれていないか検索してみるとよい、という具体的な助言も添えられていました。たとえば「残り60日で更新」という設定のままだと、64日の証明書では発行から数日で次の更新が走る状態になり、無駄な発行が繰り返されます。

あわせて、ドメインの確認結果を使い回せる期間も30日から10日に縮みます。2028年にはさらに7時間まで短くなり、同じ年には証明書の既定の有効期間も45日へ進む予定です。確認結果の使い回しを前提にクライアントを組んでいなければ、変更は不要とされています。なお、発行数の上限(レート制限)や証明書チェーンには影響しないと明記されています。

Let’s Encryptは、有効期間を短くするのは鍵の漏えいや誤発行による被害を小さくするためだと説明しています。中小企業のサイトでは、レンタルサーバーやPleskなどの管理画面が自動で更新してくれるため、普段は意識しないことが多いはずです。一方で、自前のVPSで以前に組んだcronが動き続けている、更新後にウェブサーバーの再読み込みを手作業で行っている、といった環境は意外と残っています。発表でも、再読み込みや配置の自動化、更新失敗の通知を整える機会にしてほしいと呼びかけています。期間が短くなるほど、更新の失敗に気づくまでの余裕も減ります。証明書の管理をどこが担っているのかを一度洗い出し、年明けを待たずにstagingで一度試しておくと安心です。