7 октября 2026 года Let’s Encrypt объявил в своём блоге, что с 10 февраля 2027 года все новые и продлеваемые сертификаты будут выдаваться на 64 дня вместо нынешних 90. Через год срок сократят ещё раз, до 45 дней. Если у вас сертификаты Let’s Encrypt, самое время убедиться, что продление настроено правильно.
Что меняется 10 февраля 2027 года
Любой сертификат, который Let’s Encrypt выпустит или продлит 10 февраля 2027 года и позже, будет действовать 64 дня. Уже выданные 90-дневные сертификаты никто не отзывает, они доработают свой срок. Последний 90-дневный сертификат, по оценке Let’s Encrypt, истечёт 11 мая 2027 года. Те, кто выбрал более короткие профили на 45 или 6 дней, остаются на них.
Одновременно срок повторного использования авторизации сократят с 30 до 10 дней. Авторизация это подтверждение прав на домен: пока она действует, сертификат можно выпустить без новой проверки. В обычной схеме с автоматическим продлением на это можно не обращать внимания.
Что будет в 2028 году
По плану Let’s Encrypt, 16 февраля 2028 года срок сертификатов уменьшат с 64 до 45 дней, а повторное использование авторизации с 10 дней до 7 часов. Эти даты и сроки компания расписала ещё в декабре 2025 года, когда объявляла путь с 90 до 45 дней, а в октябре 2026 года уточнила промежуточный шаг на 64 дня. Все изменения касаются профиля classic, который стоит по умолчанию. Profile tlsserver на 45 дней можно использовать уже сейчас, профиль shortlived выдаёт сертификаты на 6 дней.
Тестировать можно заранее: 14 октября 2026 года Let’s Encrypt переключит на 64 дня свою тестовую среду (staging), и компания советует прогнать там свои клиенты до февраля.
Зачем это нужно
По данным OpenNet, причина в новых требованиях CA/Browser Forum, и такое сокращение введут все удостоверяющие центры. Форум определил срок завершения перехода: март 2029 года, а максимальный срок действия сертификата станет 47 дней. После этого браузеры будут показывать ошибку ERR_CERT_VALIDITY_TOO_LONG для сертификатов, выпущенных на больший срок.
Сам Let’s Encrypt объясняет шаг тем, что короткий срок снижает риски компрометации ключа и ошибочной выдачи. А сокращение срока авторизации нужно, чтобы уложиться в сокращение допустимого срока повторного использования проверок в 2029 году и не перепроверять CAA, если данные проверки старше 7 часов.
Что проверить администратору
Если продление автоматическое и ваш ACME-клиент умеет ACME Renewal Info (ARI), ничего делать не нужно: через ARI Let’s Encrypt сам сообщает клиенту, когда продлевать. Поддержку ARI стоит посмотреть в документации вашего клиента, у разных клиентов включается по-разному.
Если дата продления зашита в расписание, её надо поправить: продлевать примерно через две трети срока жизни сертификата. Для 64 дней это около 43 дня, для 45 дней в 2028 году около 30. Раньше при 90 днях продлевали примерно на 60 день. Let’s Encrypt советует поискать в cron, скриптах-обёртках и инструкциях жёстко прописанные числа вроде 83, 80 или 60. Для первого прохода подойдёт такой поиск:
grep -rnE '(^|[^0-9])(83|80|60)([^0-9]|$)' /etc/cron.d /etc/cron.daily /etc/crontab /usr/local/bin 2>/dev/null
Продлевать сертификаты вручную при коротких сроках не рекомендуется, приходилось бы делать это чаще. Если вы всё же так работаете, пора автоматизировать продление, перезагрузку сервисов после обновления и добавить оповещение о неудачном продлении. Именно это Let’s Encrypt называет подходящим моментом для наведения порядка.
Отдельно стоит посмотреть схемы, которые опираются на повторное использование проверки: например, когда домен подтверждён заранее, а сертификаты выпускаются позже. Окно сократится до 10 дней, затем до 7 часов. Если ваш клиент специально на это не рассчитан, менять ничего не придётся.
Лимиты запросов не изменятся: продления в них не учитываются, об этом Let’s Encrypt писал отдельно. Адреса ACME и цепочки сертификатов тоже остаются прежними.
Итог: до 10 февраля 2027 года стоит проверить, что продление не завязано на 90 дней. Обычному серверу с certbot, acme.sh или похожим клиентом, где продление идёт автоматически и не привязано к жёсткому числу дней, переход скорее всего пройдёт незаметно. С тестового окружения Let’s Encrypt можно начать уже 14 октября.
