Let’s Encrypt verkürzt die kostenlosen SSL-Zertifikatslaufzeiten ab Februar 2027 auf 64 Tage

Image: Ars Technica · Source

Let’s Encrypt wird die Lebensdauer seiner kostenlosen SSL/TLS-Zertifikate ab Februar 2027 von 90 auf 64 Tage reduzieren, um automatisierte Erneuerungen zu fördern und die Sicherheit zu verbessern. Tests beginnen im Oktober 2026.

Let’s Encrypt hat Pläne angekündigt, die Gültigkeitsdauer seiner kostenlosen SSL/TLS-Zertifikate von derzeit 90 Tagen auf 64 Tage zu verkürzen, mit Wirkung ab dem 10. Februar 2027. Diese Änderung zielt darauf ab, die Websicherheit zu erhöhen, indem das Fenster für Sicherheitslücken bei einem kompromittierten privaten Schlüssel begrenzt und vollständig automatisierte Zertifikatserneuerungsprozesse bei Website-Administratoren gefördert werden.

Die Initiative setzt die ursprüngliche Mission von Let’s Encrypt seit dem Start im Jahr 2016 fort, die traditionelle Normen der Zertifikatsgültigkeit herausforderte. Früher hatten Zertifikate üblicherweise Laufzeiten von ein bis drei Jahren, was Sicherheitsrisiken mit sich brachte und die HTTPS-Einführung verlangsamte. Durch die anfängliche Einführung von 90-Tage-Zertifikaten zwang Let’s Encrypt zur Automatisierung der Erneuerung und reduzierte so Risiken, die mit langlebigen Zertifikaten verbunden sind.

Diese neueste Verkürzung auf 64 Tage stärkt diesen Ansatz und es wird erwartet, die Laufzeit 2028 weiter auf 45 Tage zu reduzieren. Parallel dazu komprimiert Let’s Encrypt die Validierungszeiträume, indem die Wiederverwendung von Authorisierungen von 30 Tagen auf 10 Tage im Februar 2027 und schließlich auf sieben Stunden im Jahr 2028 reduziert wird. Diese Maßnahmen sollen die Zertifikatsausstellung vereinfachen und die Abhängigkeit von zwischengespeicherten Validierungsdaten verringern.

Um den Übergang zu erleichtern, beginnen die Tests der 64-Tage-Zertifikate am 14. Oktober 2026, sodass Website-Administratoren ihre Erneuerungssysteme vor der Frist überprüfen können. Let’s Encrypt empfiehlt Nutzern, sicherzustellen, dass ihre ACME-Clients ACME Renewal Information (ARI) unterstützen, welche dynamische Angaben zu Erneuerungszeitpunkten liefert. Administratoren, die manuelle oder fest geplante Erneuerungsskripte verwenden, werden aufgefordert, diese zu aktualisieren, um unerwartete Zertifikatsabläufe zu vermeiden.

Empfohlene Best Practices umfassen die Überprüfung von Erneuerungsprozessen auf fest codierte Intervalle, die auf den alten 90-Tage-Zeitplan abgestimmt sind — etwa 83, 80 oder 60 Tage vor Ablauf — und deren Anpassung an das neue 64-Tage-Fenster. Es wird außerdem empfohlen, Benachrichtigungen bei Erneuerungsfehlern oder Abläufen einzurichten.

Mit rund vier Monaten bis zum Inkrafttreten der Änderung betont Let’s Encrypt die Bedeutung der Anpassung, um einen unterbrechungsfreien HTTPS-Dienst aufrechtzuerhalten. Die progressive Verkürzung der Zertifikatslaufzeiten und Validierungszeiträume durch die Organisation deutet auf einen Branchentrend zu erhöhter Sicherheit und effizienterer automatisierter Zertifikatverwaltung hin.