TLS 证书只剩 47 天：自动续期从"最好有"变成"必须有"

2025 年 4 月，CA/Browser Forum 通过 SC-081，给 TLS 证书的寿命排了一张明确的时间表。它不是一个建议，而是所有公共 CA 都必须遵守的规则——也就是说，你手上那些一年期的证书，到期后就再也签不出来了。

时间表

生效日期	最长有效期	数据复用期
2026-03-15	200 天	10 天
2027-03-15	100 天	7 天
2029-03-15	47 天	0 天

“数据复用期”指的是证书里同一组域名与公钥信息可以被重复签发的窗口。它归零意味着：每 47 天就必须重新生成一次密钥对，不能再拿旧 CSR 反复签。

为什么会这样

方向是浏览器厂商推动的：证书越短命，私钥泄露后的可利用窗口越短，吊销机制不可靠带来的风险也越小。过去十年这个数字从 39 个月一路缩到 398 天、一年、再到今天的 47 天，趋势没有变过。

运维上要改的三件事

1. 续期必须全自动。ACME 客户端（certbot、lego、acme.sh）不是“装了就行”，要确认它在所有节点上都跑、都能续、续完会 reload 服务；没有自动化的团队，从现在开始就要补；
2. 监控要盯“剩余天数”而不是“是否过期”。47 天的证书，留给人工介入的窗口只有几天；告警阈值建议设在剩余 15 天和 7 天两档；
3. 把密钥轮换写进流程。数据复用期归零后，续期等于“新密钥 + 新证书”，任何依赖固定密钥指纹的地方（pinning、白名单）都要提前改。

另外别忘了内部系统：很多公司对外用 ACME，对内还在用一年期自签证书，这次规则管不到自签，但浏览器对短寿命的偏好最终会传导过去。

一句判断

证书寿命缩短不是安全团队的新任务，而是把“证书”从一件手工资产变成一条自动流水线。2026 年 3 月的 200 天是第一次考试，真正难的是 2029 年的 47 天——到那时，没有自动续期的站点会以每 47 天一次的频率挂掉。

封面图：Let’s Encrypt 证书详情截图（Wikimedia Commons）。