オープンな認証局（CA）であるLet’s Encryptは、発行する証明書の有効期間を短縮する取り組みの第一歩を踏み出します。
同社は2027年2月10日から、証明書の既定の有効期間を64日とします。2028年に予定している45日への短縮に向けた準備です。
CA/Browser Forumのベースライン要件に沿ったもので、有効期間を短くすることで失効処理をより効率的にし、侵害の影響範囲を限定できるため、ウェブのセキュリティ向上が見込まれています。
Let’s Encryptは2025年12月のブログで、すべての公的に信頼されるCAが同様の変更を行うと指摘しており、その際に45日証明書への移行に向けたスケジュール案を明らかにしていました。
同社は先週、2027年2月10日以降に新規発行または更新されるすべての証明書の有効期間を64日とすると発表しました。最後の90日証明書は、2027年5月11日に期限を迎える見込みです。
Let’s Encryptは今週、テスト用のステージング環境で64日証明書の発行を開始します。同社は、本番環境での変更前に、すべての利用者が同様のテストを実施するよう推奨しています。
Let’s Encryptは「更新が自動化されており、お使いのクライアントがACME Renewal Info（ARI）に対応していれば、問題ありません。ARIにより、Let’s Encryptがクライアントに更新時期を通知できるためです（ARIが実装されているかどうかは、ACMEクライアントのドキュメントで確認できます）」としています。
有効期限から逆算して特定の日数前に更新するよう固定されている証明書については、証明書の有効期間のおよそ3分の2の時点に設定するよう、同社は推奨しています。
Let’s Encryptはさらに、来年には認可の再利用期間を10日に短縮し、2028年には7時間まで縮める予定です。
同社は「今回の変更は、2029年に予定されている検証再利用期間の上限短縮に対応するためです。あわせて、検証データが7時間より古い場合に検証プロセスの一部をやり直さなければならない『CAA再チェック』を不要にする狙いもあります」と説明しています。
Let’s Encryptによれば、今回の変更がACMEエンドポイントや発行チェーン、レート制限に影響することはありません。
