SSL-сертификаты будут действовать всего 47 дней. Что изменится и зачем это нужно?

Привет, Хабр! Меня зовут Александр Демидов, я директор по облачной инфраструктуре Битрикс24.

Срок действия SSL/TLS-сертификатов продолжает сокращаться. Когда-то сертификаты можно было выпускать на несколько лет, затем максимальный срок уменьшили до одного года. Теперь индустрия готовится к следующему этапу: к 2029 году сертификаты будут действовать не более 47 дней. Разбираемся, почему так происходит, и что с этим делать владельцам сайтов.

Когда изменятся сроки?

В 2025 году организация CA/Browser Forum, объединяющая удостоверяющие центры и разработчиков браузеров, утвердила график постепенного сокращения сроков действия публичных SSL/TLS-сертификатов.

Первый этап уже вступил в силу. С марта 2026 года новые сертификаты выпускаются максимум на 200 дней.

При этом ранее выданные сертификаты продолжат работать до окончания своего срока действия. Новые ограничения не делают их недействительными досрочно.

Зачем сокращают сроки?

Главная причина — повышение безопасности HTTPS.

Во-первых, уменьшаются риски при компрометации сертификата. Если злоумышленник получит закрытый ключ, короткий срок действия ограничит период, в течение которого сертификат может представлять угрозу. Это особенно важно, поскольку механизмы отзыва сертификатов не всегда работают идеально.

Во-вторых, чаще проверяется контроль над доменом. За несколько месяцев или лет домен может сменить владельца. Регулярные проверки помогают удостовериться, что сертификат получает тот, кто действительно управляет доменом.

В-третьих, проще внедрять новые стандарты безопасности. Короткие сертификаты позволяют быстрее выводить из использования устаревшие алгоритмы и переходить на новые требования.

Что изменится для владельцев сайтов?

Главное изменение — сертификаты придется обновлять значительно чаще.

Если раньше достаточно было одного продления в год, то при сроке действия 47 дней обновление потребуется примерно раз в месяц, с учетом необходимого запаса времени.

Для владельцев обычных сайтов на современных хостингах это, скорее всего, пройдет незаметно. Многие провайдеры уже автоматически выпускают и продлевают сертификаты.

А вот компаниям, которые управляют сертификатами вручную, придется пересмотреть свои процессы.

Автоматизация продления становится практически обязательной.

Для этого существует протокол ACME, который позволяет автоматически подтверждать контроль над доменом, получать новые сертификаты и устанавливать их на сервер. Его поддерживают Let's Encrypt и многие другие удостоверяющие центры.

Какие могут возникнуть проблемы?

Основные сложности связаны не столько с самими сертификатами, сколько с инфраструктурой.

- Устаревшие системы. Некоторые серверы, сетевые устройства и корпоративные приложения не поддерживают автоматическое обновление сертификатов.

- Ошибки автоматизации. Если продление не сработает из-за проблем с DNS, настройками или доступностью удостоверяющего центра, сайт может остаться с просроченным сертификатом.

- Дополнительная нагрузка. Частые обновления означают больше запросов, проверок и операций по установке сертификатов.

- Есть и еще один важный нюанс: к марту 2029 года срок повторного использования результатов проверки контроля над доменом сократится до 10 дней. Это означает, что удостоверяющим центрам придется значительно чаще проводить такие проверки.

Поэтому недостаточно просто настроить автоматическое получение сертификатов. Важно также контролировать их успешную установку и следить за сроками действия.

А что с Let's Encrypt?

Let's Encrypt уже давно выпускает сертификаты на 90 дней, поэтому его пользователи в большинстве случаев привыкли к автоматическому обновлению.

Но сроки здесь тоже будут сокращаться:

- С февраля 2027 года — до 64 дней.

- С февраля 2028 года — до 45 дней.

Таким образом, Let's Encrypt планирует перейти на короткие сертификаты раньше общеотраслевого дедлайна 2029 года.

Станут ли сертификаты дороже?

Не обязательно. Срок действия отдельного сертификата и срок оплаченной услуги — разные вещи.

Удостоверяющие центры смогут по-прежнему продавать годовые подписки, в рамках которых сертификаты будут автоматически перевыпускаться несколько раз. Однако для компаний с большим количеством серверов дополнительные расходы на автоматизацию, мониторинг и модернизацию инфраструктуры вполне возможны.

Что в итоге?

К 2029 году максимальный срок действия публичных SSL/TLS-сертификатов сократится до 47 дней. Это часть долгосрочной стратегии повышения безопасности интернета.

Для обычных пользователей ничего не изменится. Для владельцев сайтов главная задача — убедиться, что продление сертификатов происходит автоматически и без ошибок.

Эпоха ручного продления SSL-сертификатов заканчивается. Чем раньше автоматизировать этот процесс, тем меньше проблем возникнет при переходе на новые правила.