Let’s Encrypt: certificati a 64 giorni dal 10 febbraio 2027

Let’s Encrypt, l’autorità di certificazione (CA) gratuita gestita dall’organizzazione no profit Internet Security Research Group (ISRG), ridurrà la durata predefinita dei suoi certificati TLS da 90 a 64 giorni a partire dal 10 febbraio 2027. È il primo passo verso i 45 giorni previsti per il 2028. Ne hanno dato notizia Ars Technica, SecurityWeek e Help Net Security, che riportano le indicazioni pubblicate dalla CA.

Non si tratta di una vulnerabilità e non ci sono CVE: è un cambiamento operativo che riguarda chiunque usi certificati Let’s Encrypt su siti web, reverse proxy, portali VPN, server di posta o apparati. Chi rinnova in modo davvero automatico non dovrà fare nulla; chi si affida a intervalli fissi o a procedure manuali rischia certificati scaduti e servizi irraggiungibili.

Cosa cambia e quando

Le date indicate dalle fonti:

• 14 ottobre 2026: l’ambiente di prova (staging) di Let’s Encrypt inizia a emettere certificati da 64 giorni, per verificare le proprie configurazioni prima del passaggio in produzione;
• 10 febbraio 2027: tutti i certificati nuovi o rinnovati hanno una validità di 64 giorni;
• 11 maggio 2027: secondo SecurityWeek e Help Net Security, è la data in cui scadrà l’ultimo certificato da 90 giorni;
• 2028: durata predefinita di 45 giorni.

Secondo Help Net Security, durante la transizione Let’s Encrypt non revocherà certificati validi, e chi usa già i certificati opzionali da 45 o da 6 giorni non è toccato dal cambiamento. SecurityWeek aggiunge che, secondo la CA, il cambiamento non riguarda gli endpoint ACME, le catene di emissione e i limiti di frequenza (rate limit).

Perché accorciare la durata

La motivazione è la stessa che nel 2016 aveva portato Let’s Encrypt a scegliere i 90 giorni, quando i certificati duravano spesso da uno a tre anni: un certificato di breve durata limita il danno se la chiave privata viene sottratta o se il certificato viene emesso per errore. Help Net Security riporta la dichiarazione di ISRG secondo cui la riduzione abbassa il rischio di compromissione delle chiavi e di emissioni errate; SecurityWeek ricorda che la scelta segue i Baseline Requirements del CA/Browser Forum e rende la revoca più efficace, e che secondo Let’s Encrypt tutte le CA pubblicamente riconosciute faranno cambiamenti simili.

Dettagli tecnici: ARI e rinnovi a intervallo fisso

Il punto centrale è ACME Renewal Information (ARI), l’estensione del protocollo ACME con cui è la CA a indicare al client quando rinnovare. Se i rinnovi sono automatici e il client supporta ARI, secondo Let’s Encrypt non serve cambiare nulla; per saperlo basta consultare la documentazione del proprio client ACME.

Il problema riguarda le configurazioni con valori scritti a mano: script in cron, wrapper e runbook che rinnovano a un numero fisso di giorni. Let’s Encrypt consiglia di cercare valori come 83, 80 o 60, tipici dei certificati da 90 giorni, e di rinnovare a circa due terzi della durata. Con 64 giorni, per nostro calcolo, significa rinnovare intorno al 42°–43° giorno, cioè circa tre settimane prima della scadenza. Un rinnovo impostato a 80 o 83 giorni dall’emissione, per esempio, arriverebbe dopo la scadenza del certificato.

Riutilizzo delle autorizzazioni: da 30 giorni a 7 ore

Let’s Encrypt accorcia anche il periodo per cui una verifica del controllo del dominio già superata può essere riutilizzata: da 30 a 10 giorni (SecurityWeek colloca il passaggio nel 2027) e poi a 7 ore nel 2028. Secondo la CA, il cambiamento serve ad adeguarsi alla riduzione dei periodi massimi di riutilizzo prevista per il 2029 e a eliminare il “CAA rechecking”, cioè la ripetizione di parte della validazione quando i dati hanno più di 7 ore. Solo i client ACME progettati per contare sul riutilizzo delle validazioni dovranno essere modificati.

Impatto per le aziende europee e italiane

Let’s Encrypt è molto diffuso anche in Italia, spesso in installazioni nate anni fa e mai riviste: un server web configurato a mano, un apparato con uno script di rinnovo personalizzato, un servizio interno esposto per i fornitori. Un certificato scaduto non è un attacco, ma produce lo stesso effetto per l’utente: servizio irraggiungibile, errori nei client e nelle integrazioni tra applicazioni.

Per i soggetti NIS2 la continuità dei servizi e la gestione degli asset sono parte degli obblighi di gestione del rischio: un inventario dei certificati, con chi li rinnova e come, rientra in questo lavoro. In sanità, dove portali per i pazienti e integrazioni tra sistemi dipendono da connessioni TLS, un rinnovo mancato può interrompere servizi essenziali. La tendenza, inoltre, non riguarda solo Let’s Encrypt: le durate si accorceranno per tutte le CA pubbliche, quindi conviene trattare l’automazione dei rinnovi come un requisito, non come un’opzione.

Cosa fare subito

1. Fai l’inventario dei certificati Let’s Encrypt in uso e dei sistemi che li rinnovano, compresi apparati e server poco curati.
2. Verifica se il client ACME supporta ARI; se non lo supporta, aggiornalo o rivedi gli script di rinnovo.
3. Cerca i valori fissi (83, 80, 60) in cron, script e runbook e portali a circa due terzi della durata del certificato.
4. Automatizza anche il ricaricamento del certificato nel servizio e la sua distribuzione dove serve, non solo l’emissione.
5. Imposta avvisi per i rinnovi falliti e per i certificati in scadenza.
6. Prova dal 14 ottobre le configurazioni sull’ambiente di staging, prima del 10 febbraio 2027.
7. Controlla i client ACME personalizzati che contano sul riutilizzo delle autorizzazioni.

Come aiuta ARXDOME

ARX Expose mostra la superficie d’attacco della tua azienda a partire dai domini dichiarati, compresi i nomi e i certificati esposti su Internet, con una verifica quotidiana: un punto di partenza per l’inventario dei certificati pubblici. Nella rete interna, ARX Watch identifica anche i certificati dei dispositivi, con la scansione attiva sulle sedi approvate.

Ultimo aggiornamento: 12 ottobre 2026