Let’s Encryptを利用するウェブサイトは、まもなくTLS証明書をこれまでより頻繁に更新する必要があります。認証局であるLet’s Encryptは、2027年2月10日から、デフォルトで有効期間64日の証明書を発行します。現在の90日から短縮される形です。
すでにLet’s Encryptが提供するオプションの45日証明書や6日証明書を利用しているサブスクライバーは、影響を受けません。
同組織は、最後の90日証明書の有効期限が2027年5月11日に切れると見込んでいます。移行期間中、有効な証明書を失効させることはありません。
変更の理由
証明書の有効期間を短縮することで「鍵の漏洩や誤発行のリスクが低減します」と、Let’s Encryptを運営する非営利団体Internet Security Research Group（ISRG）のSarah Gran氏は述べています。
「非営利団体として、世界中のウェブ利用者のセキュリティを高めるためにこの変更を行うことは、私たちの使命の一部だと考えています」と、Gran氏は付け加えました。
64日という期間は、2028年にデフォルトの有効期間が45日になることに向けた準備段階にあたります。
管理者が確認すべきこと
Let’s Encryptは、2026年10月14日からステージング環境で64日証明書の発行を開始します。本番環境への切り替え前に、ステージング環境でのテストを推奨しています。
ACME Renewal Info（ARI）に対応したクライアントで更新を自動化しているサイトは、基本的に何も変更する必要はありません。ARIにより、Let’s Encryptがクライアントに更新のタイミングを通知できるためです。管理者は、利用中のクライアントのドキュメントで対応状況を確認できます。
有効期限の一定日数前に更新する設定にしている環境は、見直しが必要です。Let’s Encryptは、証明書の有効期間の約3分の2が経過した時点で更新するよう勧めています。あわせて、cronジョブやラッパースクリプト、運用手順書（ランブック）の中に、83、80、60といった固定値が埋め込まれていないか検索することを提案しています。
Gran氏は、証明書のリロードとデプロイを自動化し、更新に失敗した場合のアラートを設定することも推奨しています。
Let’s Encryptは、認可の再利用期間も30日から10日に短縮します。2028年には、この期間が7時間まで短くなります。
「この変更は、2029年に予定されている検証再利用期間の上限短縮に対応するとともに、検証データが7時間より古い場合に検証プロセスの一部をやり直す必要がある『CAA再チェック』を不要にするために行います。ACMEクライアントを検証の再利用に依存するよう特別に設計していない限り、変更は必要ありません」と、Gran氏は締めくくっています。
翻訳元: https://www.helpnetsecurity.com/2026/10/12/lets-encrypt-64-day-certificate-lifetime/
