[SSL证书] SC-081提案：证书有效期逐步从398天缩短到47天

背景

2025年4月13日，CA/Browser Forum 组织投票，正式通过 SC-081提案。此提案由苹果公司在2024年10月10日向CA/Browser Forum 提交，一经曝光就就引发了网站站长的不满，但掌握话语权的SSL/TLS行业组织和浏览器厂商都坚定站在了苹果这边。

详情

根据以上提案，免费的SSL证书最迟需要在2029年3月15日从90天变为47天或以下。
2025年12月3日，Let's Encrypt根据提案对SSL有效期进行变更

• SAN(Subject Alternative Name)：指的是证书中的一个扩展字段，允许为同一个证书指定多个域名或IP地址。这意味着一个证书可以保护多个不同的域名，增加了灵活性和便利性。(多域名证书)
• 非SAN(None Subject Alternative Name)：指的是不包含在 SAN 字段中的验证数据，通常是指仅使用主域名（Common Name, CN）进行验证的情况。(单域名证书，包括单域名通配符证书，如 *.example.com)
• Let's Encrypt没有区分SAN与非SAN的验证数据重用期，因此都是一样的

意义

优点

1. 极大压缩攻击窗口，提升主动防御能力

• 最核心的优点。将多域名证书的验证复用期从398天减至10天，意味着攻击者利用“陈旧”的验证授权进行欺诈（例如，在旧授权有效期内，尝试为已不再控制的域名签发新证书）的时间窗口从超过一年骤降到几乎可以忽略不计。这使得此类攻击在现实中极难实施。

2. 强制高频的域名控制权确认

• 对于高风险、高价值的多域名证书，政策强制要求CA和订阅者（Subscriber）几乎在每次签发时都重新确认对每一个域名的控制权。这确保了域名列表的“新鲜度”和“准确性”，降低了因域名所有权变更、子域名过期或回收而引发的证书误发风险。

3. 促使证书架构合理化

• 这项政策会“逼迫”企业重新审视其证书策略。将大量不相关的域名捆绑在一张证书中的做法，其运维便利性将因10天的严格限制而消失。这会推动企业采用更安全、更灵活的证书架构，例如：
  • 拆分为单域名或通配符证书：每个业务线或域名组使用独立的证书，降低单点故障风险。
  • 采用自动化管理平台：更精细、更自动化的证书生命周期管理将成为必然选择。

缺点

1. 运维复杂度与工作量激增

• 这是最直接、最显著的缺点。对于拥有大量多域名证书（尤其是包含数十上百个域名）的组织，每次续期都近乎等同于申请一张全新证书，需要为所有域名重新执行验证挑战（如DNS TXT记录更新）。这将给运维团队带来巨大的、频繁的重复性工作。

2. 自动化挑战与故障风险

• 现有的证书自动化工具（如ACME客户端、Certbot等）和脚本大多基于较长的授权复用期设计。新政策要求自动化流程必须能高频、可靠地执行验证。任何自动化环节的失败（如DNS传播延迟、API调用限制、网络问题）都可能导致证书续期失败，从而引发服务中断。

3. 成本上升

• 人力成本：运维团队需要投入更多时间进行证书管理、监控和故障排查。
• 工具与流程成本：可能需要升级或重新开发自动化管理系统。
• 潜在的经济成本：如果选择拆分为多个单域名证书，且使用付费CA，证书购买成本可能会增加。

4. 特定业务场景不友好

• 对于一些有合理需求必须使用大型多域名证书的场景（如大型邮件服务器、CDN服务商内部管理），新政策会带来显著的合规性负担，而拆分为小证书可能并不符合其技术架构。

参照

• SC-081提案 CA/Browser Forum
• SC-081提案 Github
• Let's Encrypt:证书寿命递减至45天

附录

• SSL证书有效期降到47天，全球网站站长有得忙了
• 从SSL证书有效期将缩短到47天聊开去
• 从 SC-081 说说 SSL 证书的那些事
• Latest Baseline Requirements