Let’s Encrypt: certificate de 64 de zile din februarie 2027

Let’s Encrypt, autoritatea de certificare (CA) gratuită administrată de organizația nonprofit Internet Security Research Group (ISRG), va reduce valabilitatea implicită a certificatelor sale TLS de la 90 la 64 de zile începând cu 10 februarie 2027. Este primul pas spre cele 45 de zile prevăzute pentru 2028. Vestea a fost relatată de Ars Technica, SecurityWeek și Help Net Security, pe baza indicațiilor publicate de CA.

Nu este o vulnerabilitate și nu există CVE: este o schimbare operațională care îi privește pe toți cei care folosesc certificate Let’s Encrypt pe site-uri web, reverse proxy, portaluri VPN, servere de e-mail sau echipamente. Dacă reînnoirile tale sunt cu adevărat automate, nu va trebui să faci nimic; dacă te bazezi pe intervale fixe sau pe proceduri manuale, riști certificate expirate și servicii inaccesibile.

Ce se schimbă și când

Datele indicate de surse:

• 14 octombrie 2026: mediul de test (staging) al Let’s Encrypt începe să emită certificate de 64 de zile, ca să îți poți verifica configurația înainte de trecerea în producție;
• 10 februarie 2027: toate certificatele noi sau reînnoite au o valabilitate de 64 de zile;
• 11 mai 2027: potrivit SecurityWeek și Help Net Security, data la care va expira ultimul certificat de 90 de zile;
• 2028: valabilitate implicită de 45 de zile.

Potrivit Help Net Security, în timpul tranziției Let’s Encrypt nu va revoca certificate valabile, iar cei care folosesc deja certificatele opționale de 45 sau de 6 zile nu sunt afectați. SecurityWeek adaugă că, potrivit CA, schimbarea nu afectează endpoint-urile ACME, lanțurile de emitere și limitele de frecvență (rate limits).

De ce se scurtează valabilitatea

Motivul este același care a dus Let’s Encrypt la alegerea celor 90 de zile în 2016, când certificatele durau adesea între unu și trei ani: un certificat cu viață scurtă limitează paguba dacă cheia privată este furată sau dacă certificatul este emis din greșeală. Help Net Security citează declarația ISRG potrivit căreia reducerea scade riscul de compromitere a cheilor și de emiteri greșite; SecurityWeek amintește că măsura urmează Baseline Requirements ale CA/Browser Forum și face revocarea mai eficientă și că, potrivit Let’s Encrypt, toate CA de încredere publică vor face schimbări similare.

Detalii tehnice: ARI și reînnoirile la interval fix

Elementul central este ACME Renewal Information (ARI), extensia protocolului ACME prin care CA îi spune clientului când să reînnoiască. Dacă reînnoirile sunt automate și clientul suportă ARI, potrivit Let’s Encrypt nu trebuie schimbat nimic; documentația clientului tău ACME îți spune dacă ARI este implementat.

Problema apare la valorile scrise de mână: joburi cron, scripturi wrapper și runbook-uri care reînnoiesc după un număr fix de zile. Let’s Encrypt recomandă să cauți valori precum 83, 80 sau 60, tipice certificatelor de 90 de zile, și să reînnoiești la aproximativ două treimi din valabilitate. La 64 de zile, după calculul nostru, înseamnă reînnoire în jurul zilei 42–43, cu circa trei săptămâni înainte de expirare. O reînnoire setată la 80 sau 83 de zile de la emitere, de exemplu, ar veni după ce certificatul a expirat deja.

Reutilizarea autorizărilor: de la 30 de zile la 7 ore

Let’s Encrypt scurtează și perioada în care o validare deja reușită a controlului domeniului poate fi reutilizată: de la 30 la 10 zile (SecurityWeek plasează acest pas în 2027) și apoi la 7 ore în 2028. Potrivit CA, schimbarea servește la alinierea cu reducerea perioadelor maxime de reutilizare prevăzută pentru 2029 și la eliminarea „CAA rechecking”, adică repetarea unei părți din validare când datele sunt mai vechi de 7 ore. Doar clienții ACME proiectați anume să se bazeze pe reutilizarea validărilor vor trebui modificați.

Impactul pentru companiile europene și italiene

Let’s Encrypt este foarte răspândit și în Europa, adesea în instalări făcute cu ani în urmă și niciodată revizuite: un server web configurat manual, un echipament cu un script de reînnoire propriu, un serviciu intern expus furnizorilor. Un certificat expirat nu este un atac, dar pentru utilizator efectul este același: serviciu inaccesibil și erori în clienți și în integrările dintre aplicații.

Pentru entitățile NIS2, continuitatea serviciilor și gestionarea activelor fac parte din obligațiile de gestionare a riscului: un inventar al certificatelor, cu cine le reînnoiește și cum, intră în această muncă. În sănătate, unde portalurile pentru pacienți și integrările dintre sisteme depind de conexiuni TLS, o reînnoire ratată poate întrerupe servicii esențiale. În plus, tendința nu se limitează la Let’s Encrypt: valabilitatea se va scurta la toate CA publice, așa că automatizarea reînnoirilor trebuie tratată ca o cerință, nu ca o opțiune.

Ce faci acum

1. Fă inventarul certificatelor Let’s Encrypt folosite și al sistemelor care le reînnoiesc, inclusiv echipamente și servere neglijate.
2. Verifică dacă clientul tău ACME suportă ARI; dacă nu, actualizează-l sau revizuiește scripturile de reînnoire.
3. Caută valorile fixe (83, 80, 60) în cron, scripturi și runbook-uri și mută-le la aproximativ două treimi din valabilitatea certificatului.
4. Automatizează și reîncărcarea certificatului în serviciu și distribuirea lui unde e nevoie, nu doar emiterea.
5. Configurează alerte pentru reînnoirile eșuate și pentru certificatele care expiră.
6. Din 14 octombrie, testează configurația în mediul de staging, înainte de 10 februarie 2027.
7. Verifică clienții ACME personalizați care se bazează pe reutilizarea autorizărilor.

Cum ajută ARXDOME

ARX Expose îți arată suprafața de atac a companiei pornind de la domeniile declarate, inclusiv numele și certificatele expuse pe Internet, cu o verificare zilnică: un punct de plecare pentru inventarul certificatelor publice. În rețeaua internă, ARX Watch identifică și certificatele dispozitivelor, cu scanare activă în sediile aprobate.

Ultima actualizare: 12 octombrie 2026