Let’s Encrypt: Umstellung auf 64-Tage-Zertifikate im Februar 2027

Die kostenlosen Zertifikate von Let’s Encrypt sind populär bei Webseitenbetreibern. Bislang können die Let’s-Encrypt-Zertifikate bis zu 90 Tage Laufzeit erhalten. Ab Februar 2027 erfolgt die Umstellung auf eine 64-Tage-Laufzeit.

Daran erinnert das Projekt in einem Blogbeitrag aus der vergangenen Woche. Ab dem 10. Februar 2027 werden demnach alle Let’s-Encrypt-Abonnenten standardmäßig auf die Zertifikatslaufzeit von 64 Tagen umgestellt – außer, sie entscheiden sich für eine noch kürzere Laufzeit von 45 oder 6 Tagen. Ab dem Zeitpunkt werden die ausgestellten und erneuerten Zertifikate maximal 64 Tage gültig sein; das letzte 90-Tage-Zertifikat läuft dann planmäßig am 11. Mai 2027 aus. Gültige Zertifikate will Let’s Encrypt dabei nicht zurückziehen.

Testen vor der Änderung

Ab dem 14. Oktober 2026 erfolgt die Umschaltung auf die kürzer laufenden Zertifikate in der Staging-Umgebung, also der Testplattform. Das Projekt empfiehlt, damit die Änderungen zu prüfen, bevor sie in den Produktionsumgebungen einschlagen.

Wer auf automatisierte Erneuerung etwa mittels Client setzt, der ACME Renewal Information (ARI) unterstützt, sollte keine weiteren Maßnahmen ergreifen müssen – über ARI sollte Let’s Encrypt den Clients mitteilen, wenn sie die Zertifikate erneuern müssen. Sofern die Erneuerungen jedoch in festem Abstand zum Ablaufdatum einprogrammiert sind, sollten Admins sie anpassen, sodass sie nach etwa zwei Dritteln der Laufzeit aktualisieren. Wer diese Schritte ergreift, legt damit auch gleich den Grundstein für die Laufzeit von 45 Tagen, die die Let’s-Encrypt-Zertifikate ab dem 16. Februar 2028 nutzen werden. Betroffene sollen in Cron-Jobs, Wrapper-Skripten und Betriebshandbüchern nach hartkodierten Zahlen wie 83, 80 oder 60 suchen.

Autorisierungsdaten kürzer wiederverwendbar

Eine weitere Änderung betrifft die Autorisierungen: Der Zeitraum zur Wiederverwendung sinkt von derzeit 30 Tagen auf 10 Tage. Im Jahr 2028 soll das noch einmal drastisch reduziert werden, auf 7 Stunden. Das geschieht in Vorbereitung darauf, dass die Wiederverwendung von Validierungsdaten im Jahr 2029 reduziert wird. Let’s Encrypt möchte damit sogenannte „CAA-Nachprüfungen“ vermeiden, bei denen Teile des Validierungsprozesses wiederholt werden müssen, wenn die Validierungsdaten älter als 7 Stunden sind. Wer den ACME-Client so konfiguriert hat, dass er nicht explizit auf die Wiederverwendung von Validierungsdaten setzt, muss dafür keine weiteren Änderungen vornehmen. Das Let’s-Encrypt-Projekt weist darauf hin, dass das eine gute Gelegenheit sei, die Zertifikatsverwaltung zu automatisieren und dabei Alarmmeldungen zu ergänzen, sollte im Prozess etwas schieflaufen.

Ganz zum Schluss schiebt Let’s Encrypt noch einmal die Erklärung nach, warum diese Änderungen sinnvoll sind. Die kürzere Zertifikatslaufzeit senkt das Risiko der Schlüsselkompromittierung beziehungsweise fehlerhafter Ausstellung. Als Non-Profit-Organisation sehe Let’s Encrypt es als Teil seiner Aufgabe, diese Änderungen vorzunehmen, um die Sicherheit für alle im Netz global zu verbessern.

Angekündigt hatte Let’s Encrypt die neuen Lebensspannen von Zertifikaten bereits im Dezember 2025. Der Zeitplan stand auch da bereits fest. Nun geht es darum, die Änderungen in die Praxis zu bringen, wofür die Testumgebung ab Mittwoch dieser Woche eine nützliche Handreichung ist.